Эки шлюз, бир VPN: эмне үчүн OpenVPN туура эмес жогорку каналды тандайт

Эки жогорку канал, бир туннель, жана трафик сиз тандабаган канал аркылуу чыгып жатат. Жеке ички тармактар жеткиликтүү, журнал ийгиликтүү байланышты билдирет, жана так өлчөнгөн канал аны ташыйт. OpenVPN чыгышында шлюз жөнүндө эч нерсе айтылбайт, анткени кардар эч качан аны тандаган эмес. Ал алыскы дарекке сокет ачып, ал дарекке кантип жетүүнү ядрого калтырды.

Туннелдин дареги акыркы чекит эмес

Ар бир сессияда эки башка жол бар. Сырткы жол шифрленген транспортту сервердин ачык дарегине алып барат. Ички жол сервер туннелге түрткөн нерсенин баарын ташыйт, жана биринин маршруттоо эрежелери экинчисине таасир этпейт.

Профилдеги remote жазуусу сырткы даректи атайт, ошондуктан бекитилүүчү дарек ошол. Бул хост аталышы башкача чечилгенде же профиль бир нече remote тизмелегенде өзгөрүүчү маани да.

Кардар чындап чалган даректи табыңыз

Конфигурация файлынын ордуна жандуу сокетти окуңуз. Сокет таблицасы процесс чындап туташкан теңтушту көрсөтөт, жана өзгөчөлүк ошол мааниге дал келиши керек. Профилди сессия башталгандан кийин да оңдоого болот, ал эми сокет эмнеге чалынганынын жалгыз далили:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Журнал сабы туташуу учурундагы теңтуштун дареги менен портун атайт. Эгер ал профилге дал келбесе, кардардын алдында бир нерсе туташуу башталганга чейин даректи кайра жазып жатат.

Даректер үй-бүлөсүн да текшериңиз. Кош стектүү профиль IPv6 аркылуу туташышы мүмкүн, ал эми сиздин өзгөчөлүгүңүз IPv4 гана камтыйт, ошондо трафик сиз жазган эрежеден башка эрежеге баш ийет. Ошол эле акыркы чекиттин атынан жооп берген проксиге да тиешелүү. Эки учурда тең маршрутуңуз эч нерсе кылбай туруп иштеген туннель пайда болот.

Акыркы чекитти бекитип, саясат тартибин окуңуз

Хост маршруту каалаган демейки маршруттан так. Ошондуктан теңтуш дареги үчүн /32 аны камтыган таблицада жеңет. Кадимки форма шлюз менен түзмөктү ачык атайт:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Бул маршрут издөө ошол таблицага жеткенде гана жардам берет. Саясат эрежелери тартиби менен бааланат жана биринчи дал келүү чечет, ошондуктан баарын экинчи таблицага жиберген эреже main ичиндеги хост маршрутуңузду айланып өтөт. Маршрутту ыйгарым укуктуу деп эсептегенге чейин эрежелерди окуңуз:

ip rule show
ip route get 203.0.113.40

Экинчи буйрукту кардар колдонгон ошол эле булак дареги же белгиси менен сураңыз, эгер саясат аларга көз каранды болсо. Ал ядро тандай турган маршрутту билдирет, бул издөө жөнүндө далил, ал эми жандуу сокет ошол жолду колдонорунун далили эмес.

Акыркы чекит жылганда

Бир нече дарекке чечилген хост аталышы жооп өзгөргөн замат туруктуу /32ни жараксыз кылат. Бир нече remote саптары бар профилде да ушул көйгөй бар, анткени кардар алардын кайсынысына болсо да конушу мүмкүн. Маршрутту кол менен кошуунун ордуна кардардын өзүнүн жашоо циклинин илмектеринен жаңыртыңыз. up скрипти келишилген теңтушту окуп, хост маршрутун орнотот, өзгөчөлүктү реалдуулукка шайкеш кармайт, ал эми тиешелүү down скрипти аны алып салат.

Жаңыртууну хосттун калган маршруттоо конфигурациясы менен бир жерге жазыңыз. Кийинки кайра жүктөөгө чейин гана жашаган маршрут сыноо, оңдоо эмес.

Ички саясатты өзүнчө кармаңыз

Сырткы жолду жылдыруу жаңы жеке ички тармакка жеткиликтүүлүк бербейт жана сервердин туннелге кайсы даректерди түртөрүн өзгөртпөйт. Төмөнкү катмардын маршруту зымды тандайт; түртүлгөн маршруттар туннелге эмне кирерин тандайт. Ушул эки чечимди өзүнчө кармоо бөлүнүштү болжолдуу кылат.

Эгер максат шифрленген транспортту өлчөнгөн каналдан алыс кармоо болсо гана, демейки маршрутка тийбеңиз жана жалгыз хост өзгөчөлүгүн кошуңуз. Бир VPN байланышын жылдыруу үчүн бүткүл машинанын демейки маршрутун алмаштыруу хосттогу башка ар кандай колдонмону бузат.

Жыйынтыкты эки көз карандысыз байкоо менен ырастаңыз: сокеттин жергиликтүү дареги жана түзмөгү, жана жеке дарек чечилүүчү маршрут. Экөө тең ниетиңизге туура келсе, бөлүнүш чыныгы. OpenVPN 2.6 колдонмосу кардар кайсы дарекке чалаарын аныктаган remote жана жергиликтүү байлоо параметрлерин камтыйт.