Vollen Tunnel oder Endpunkt-Route: de VPN-Server erreechbar halen

Setzt eng Standardroute duerch den Tunnel derbäi, an d'Pakete vum Tunnel selwer follegen hir. D'Tabell enthält dann eng Regel, déi sech selwer schléit. D'verschlësselt Verbindung mam Server probéiert bannen der Verbindung ze reesen, déi se probéiert opzebauen.

Zwee Mechanismen verhënneren dës Schlauf. Ee ass an der Routentabell ze gesinn, deen aneren lieft bannen der Applikatioun.

Bannen- an Bausse-Verkehr sinn ënnerschiddlech Entscheidungen

En Applikatiounspaket geet an de virtuelle Interface an gëtt encapsuléiert. D'Resultat ass en neit Paket, dat un d'ëffentlech Adress vum Server adresséiert ass. Dat Paket brauch eng Route um physikaleschen Netzwierk, well näischt dovun an den Tunnel dierf erakommen.

Alle zwee sinn Routing-Entscheidungen, a just déi éischt gehéiert zum Tunnel. Wann de Client eng Standardroute installéiert, déi och de Server deckt, gëtt dat baussenzegt Paket och gefaangen.

D'Symptomer sinn direkt a komplett. Den Handshake gëtt fäerdeg an duerno fléisst näischt, oder d'Verbindung fällt an deem Ablack, wou d'Route installéiert gëtt. An alle béide Fäll kann de keepalive net méi eraus.

Optioun eng: eng Host-Route fir den Endpunkt

Den direkte Wee setzt eng Route fir d'Adress vum Server iwwer de urspréngleche Gateway derbäi. Et brauch just eng Linn. Et ass fir jiddereen ze gesinn, deen d'Tabell liest. Et ass och einfach an engem Ännerungsprotokoll z'erklären.

Seng Schwächt erschéngt, wann de ënnerläitende Wee sech ännert. Déi gespäichert Route nennt e Gateway an en Interface aus dem ale Netzwierk. No engem Wi-Fi-Wiessel gëtt et dee Gateway vläicht net méi, an d'Route bleift zréck, gesäit richteg aus an däit näischt.

# before the tunnel: which path reaches the endpoint?
ip route get 198.51.100.7

# pin it through the current gateway
ip route add 198.51.100.7/32 via 192.168.1.1 dev wlan0

# after the tunnel is up, confirm the pin survived
ip route get 198.51.100.7

En Hostnumm mécht dat méi schwéier. Wann den Endpunkt en Numm ass, deen op verschidden Adressen opléist, muss d'Ausnam déi Adress decken, déi tatsächlech benotzt gëtt. Eng spéider Nofro kann eppes zréckginn, dat d'Route ni gedeckt huet.

Optioun zwee: de Socket schützen

Déi aner Approche beréiert d'Routentabell ni. De Client markéiert oder schützt de Socket, deen den Tunnel dréit, sou datt den Betriebssystem de Verkehr vun deem Socket no Politik baussen dem Tunnel schéckt. Android bitt de Mechanismus direkt VPN-Applikatiounen un. Desktop-Cliente setzen Äquivalenter mat Firewall-Marken oder Bind-to-Device-Opruffer ëm.

Den Avantage ass, datt d'Ausnam der Verbindung follegt an net engem gespäicherte Gateway. Eng Netzwierkännerung schreift de ënnerläitende Wee ëm, an de geschützte Socket beweegt sech mat, well en ni un eng Adress festgemaach gouf. D'Routentabell bleift propper.

De Präis ass Visibilitéit. Näischt an der Routentabell weist d'Ausnam, soudatt en Iwwerpréifer, deen eng Host-Route sicht, näischt fënnt a konkludéiere kann, datt den Design onsécher ass. De Schutz lieft am Code vum Client an an de Politikregelen, déi dee Code installéiert.

Tëschent deenen zwou wielen

Wielt de Socket-Niveau-Mechanismus, wann de Client en ënnerstëtzt, well en d'Netzwierkännerungen iwwersteet, déi eng festgemaachte Route briechen. Wielt d'Host-Route, wann d'Ausnam fir aner Instrumenter sichtbar muss sinn, oder wann de Client näischt Besseres ubitt.

Kee vun deenen zwee Mechanismen hëlt d'Noutwendegkeet ewech, datt d'Serveradress iwwerhaapt erreechbar ass. En private Gateway huet eng ëffentlech Lauschteradress, an déi Adress ass et, déi baussen dem Tunnel muss bleiwen. D'intern Netzwierker hannendrun ginn eréischt erreechbar, wa den Tunnel existéiert.

Wat Dir och wielt, haalt et beim Komponent, deem den Tunnel gehéiert. Eng verwullt Host-Route, déi vun Hand derbäigesat gouf, funktionéiert bis zum nächsten Netzwierk, an duerno gëtt et de mysteriéisen Ausfall vum muer.