Füllen Tunnel huet deng SSH-Sessioun ëmbruecht: pin de Retourwee

Start en OpenVPN Client op der Maschinn, op där s du iwwer SSH schaffs, an an der Mëtt vum Kommando fréiert d'Sessioun. Den Tunnel mellt sech verbonnen, den Host erreecht d'Internet duerch en, an deng Tastendréck kommen nach ëmmer un, während näischt zréckkënnt. Wat sech geännert huet, ass net den Tunnel: et ass de Retourwee fir Pakete, déi un dech adresséiert sinn, deen elo mat der neier Standardroute iwwereneen ass an an en Tunnel geet, deen de wäite Gateway net benotze wäert, fir deng Schreifdësch z'erreechen.

Wat redirect-gateway tatsächlech installéiert

A senger def1 Form redirect-gateway setzt en 0.0.0.0/1 an 128.0.0.0/1 derbäi, amplaz d'Standardroute z'iwwerschreiwen. Dës zwou Hälften decken de ganzen Adressraum of, an déi zwee bleiwen länger Prefixen wéi 0.0.0.0/0, dofir geet all Destinatioun ouni eng méi spezifesch Iwwereneeënstëmmung elo an den Tunnel. Dat ass de Mechanismus, deen een am Kapp behale soll, well all Korrektur hei drënner funktionéiert andeems eng méi spezifesch Iwwereneeënstëmmung installéiert gëtt.

Deng Administratiounsadress ass eng vun deenen Destinatiounen.

Den VPN-Server leet den Trafic vu senge Clienten an Richtung Internet weider. En huet keng Route fir déi ëffentlech Adress, vun där s du sech verbënns, an och kee Grond, déi Pakete soss wéi als Trafic ze behandelen, dee vun engem Client kënnt, dofir verwërft en se. Tëschentdeem huet d'Ufro, déi s du geschéckt hues, den Host nach ëmmer erreecht, an dofir gesäit d'Sessioun nëmmen op enger Säit lieweg aus.

ip route show table main | head -n 20
ip route get 198.51.100.23

Fann deng Quelladress an de Wee virum Tunnel

Um Server, lëscht déi etabléiert SSH-Verbindung op a notéier d'Peer-Adress, vun där se komm ass. Déi Adress ass et, déi deng Retourroute decke muss, an et ass net ëmmer déi, déi s du denks: en Iwwersprong-Host, en NAT-Gateway oder en Iwwersetzer vum Betreiber kënnen eng aner Quell astzen.

Fann duerno de physesche Gateway an d'Interface, déi den Trafic gedroen hunn, ier den Tunnel ugefaang huet. An der def1 Astellung ass d'Standardroute nach ëmmer ënner den Hallef-Standarden do, also ass d'Informatioun verfügbar, obwuel eng laang Routentabell mat den Aen ze liesen zu Feeler invitéiert.

Notéier béid Wäerter an den Numm vun der Interface zesummen, well d'Route, déi s du wëlls derbäisetzen, brauch all dräi. Wann den Host eng policy routing-Reeg benotzt huet, fir säin Uplink ze wielen, gëtt eng einfach Route vläicht guer net considéréiert, an déi Méiglechkeet ännert d'Korrektur.

Pin eng Host-Route, déi d'Hallef-Standarden iwwertrëfft

Eng /32 Route ass méi laang wéi jidde vun den zwou Hallef-Standarden, dofir huelen d'Äntwerten op deng Adress se amplaz vum Tunnel. Den nächsten Hop ass de Gateway virum Tunnel an d'Apparat ass d'physesch Interface, wat de Paket op deem Wee hält, deen en benotzt huet, ier den Tunnel existéiert huet.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Verifizéier mat enger Ufro amplaz d'Tabelle ze kucken: d'Äntwert muss eth0 an de Gateway nennen, ni tun0.

OpenVPN setzt schonn eng Host-Route op d'Adress vum VPN-Server selwer aus deem selwechte Grond derbäi, dofir ass de Muster vertraut an d'Administratiounsadress ass einfach nach eng Ausnam. Gräif net op route-nopull zeréck, fir dat ze flécken, well et déi gedréckt Routen verwërft, déi den Tunnel brauch, dorënner dat wäit Netzwierk an d'DNS-Optiounen.

Maach, datt et en Neiverbannen iwwerlieft

Eng Route, déi vun Hand derbäigesat gëtt, verschwënnt, wann de Client sech nei verbënnt an seng eege installéiert, wat eng Korrektur an en widderhuelende Ausfall verwandelt. Häng den Kommando un eppes, wat leeft, nodeems d'Routen installéiert sinn.

Souwuel en route-up Skript wéi och den pre-up Haken vum Netzwierkmanager funktionéieren, an déi zouverlässeg Kontroll ass en Neiverbannen, gefollegt vun der selwechter Ufro.

Op Windows ass d'Äquivalent eng permanent Route, déi mat -p derbäigesat gëtt, déi Neistarts iwwerlieft awer nach ëmmer no enger Netzwierkännerung op de richtege Gateway weise muss. Egal wéi eng Plaform, schreif de Grond nieft d'Route: den nächsten Administrateur muss wëssen, datt se do ass, fir eng Managersessioun ze schützen, net well d'Netzwierkdesign et gefuerdert huet.

Wann eng gepinnte Route nach ëmmer net duergeet

D'Filtere vum Retourwee kann e Paket verwërfen, dat op enger Interface ukommt an iwwer eng aner fortgeet, an dat ass just dat, wat eng gepinnte Route schaaft. Kontrolléier den effektiven rp_filter Wäert, ier s du eppes global desaktivéiers, a behält léiwer d'Asymmetrie flécken, wéi d'Kontroll auszeschalten. Et gëllt d'Astellung pro Interface, an de loose-Modus loggt dacks nëmmen d'Asymmetrie, amplaz de Paket ze verwërfen. Liest béides, ier s du schléiss, datt de Filter deng Schold ass.

Hosten mat policy routing brauchen eng Reegel souwuel wéi eng Route, well d'Reegele Basis d'Tabelle wielt, ier d'Route dobannen considéréiert gëtt. Eng Route an der main-Tabelle ass onsiichtbar fir en Flow, deen enger Reegel entsprécht, déi op eng aner Tabelle weist. Liest d'Reegele, ier s du eppes an main dobäisetz. Wann eng Reegel schonn den Trafic vu Management deckt, gehéiert d'Ausnam an d'Tabelle vun där Reegel.

Hal eng Out-of-Band-Konsole op, während s du test, a kontrolléier nach eng Kéier vun engem zweete Login, ier s du dee trenns, deen s du benotzs. Eng Route, déi däin eegene Management-Trafic an den Tunnel schéckt, schneit d'Verbindung of, duerch déi s du se flécks. Erëm eranzekommen heescht dann eng seriell Konsole oder e Rettungsboot, wat en schlechten Tausch ass, fir ee Verifikatiounsschrëtt ze iwwersprangen.