Ären ale Standardwee iwwerlieft OpenVPN bewosst

Zwee /1-Routen iwwertreffen de Standard ouni en z’ersetzen. Kuckt wéi eng Route eng Destinatioun wierklech hëlt, an da loosst dee ale Gateway stoen.

Dir verbënnt den Tunnel, fuert ip route aus, an dee ursprénglechen Standard-Gateway steet nach ëmmer do. Den nächsten Gedanke ass, datt de Client d’Route net iwwerholl huet, also läscht Dir den Standard manuell an verléiert d’Verbindung komplett. Dee Bäitrag soll bleiwen. Mat redirect-gateway def1 installéiert OpenVPN zwou méi spezifesch Routen, déi de gewéinleche Standard iwwertreffen, amplaz en z’ersetzen. Den ale Gateway bleift a schleeft net méi de Verkéier, deen Dir getest hutt.

Wat def1 wierklech mécht

De Fändel setzt 0.0.0.0/1 an 128.0.0.0/1 derbäi, allebéid op den Tunnel geriicht. 0.0.0.0/1 deckt all Adress of, där hirem éischten Oktett 0 bis 127 ass, an 128.0.0.0/1 deckt 128 bis 255 of, sou datt all IPv4-Destinatioun eng méi spezifesch Iwwereneestëmmung huet wéi den ale Standard. D’Längt vum Prefix, net d’Metrik, entscheet, wéi eng Route gewënnt.

Den ursprénglechen Standard stoen ze loossen ass bewosst. De Client muss sech net merken, wat hien ersat huet, an hie schreift d’Route net ëm, déi seng eege Verbindung mam VPN-Server dréit. Beim Trenne entfernt hien déi zwou Hallef-Routen an den Table geet zréck op dat, wat en war.

Firwat /1 an net /0

Routing wielt de längsten passenden Prefix, net déi niddregst Metrik, also schléit eng /1 eng /0, egal wat d’Metrik vum Standard seet. Déi zwou Hallefte ginn et, well eng /1 nëmmen d’Halschent vum Raum deckt; mat nëmmen 0.0.0.0/1 präsent follegt alles vun 128.0.0.0 uewen nach ëmmer dem ale Standard, wat de verwirrenden Symptom erzeugt, datt e puer Säite funktionéieren an anerer net.

D’Metrik vum ale Standard ze erhéijen oder ze senken ännert näischt, an e Standard mat enger niddreger Metrik op engem aneren Interface klaut de Verkéier och net. Als éischt entscheet d’Längt vum Prefix, an nëmmen gläich Prefixe gräifen op d’Metrik zréck.

Liest en echte Routingtable

En ugeschlossene Host kann all dräi Bäiträg op eemol weisen, woubäi den Tunnel d’Hallefte dréit an den ursprénglechen Gateway nach an der Lëscht steet. D’Adressen sinn Beispiller an net eng Konfiguratioun fir ze kopéieren, well Interface-Nimm, Tunnel-Topologie an zousätzlech Routen no Plattform a Client variéieren.

default via 192.168.50.1 dev wlan0
0.0.0.0/1 via 10.8.0.1 dev tun0
128.0.0.0/1 via 10.8.0.1 dev tun0

Wichteg ass d’Verhältnis: zwou spezifesch Halleften iwwer engem allgemengen Standard. D’Linn vum ale Gateway bleift, well näischt se ersat huet.

Kuckt wéi eng Route de Pak wierklech hëlt

Méi spezifesch Route kënnen nach ëmmer gewannen: eng Route fir e privaten Beräich, en lokalen Subnet oder d’Adress vum VPN-Server selwer ass méi laang wéi eng /1. Den Tunnel brauch en äusseren Wee zu sengem Server, an dës Verbindung zréck an den Tunnel ze schécken géif en direkt briechen. Op Linux froen Dir de Kernel, amplaz den Table mat den Aen ze liesen: ip route get mat der Destinatioun, déi Iech interesséiert, dréckt déi gewielte Route, den Interface an d’Quell aus. Wann Policy-Routing konfiguréiert ass, kontrolléiert och d’Reegelen, well eng Reegel en aneren Table ka wielen, ier den Haapttable consultéiert gëtt.

Wann nëmmen en Deel vun IPv4 sech falsch verhält, confirméiert datt béid Hallefte installéiert sinn, an da sicht no enger Ausnam, déi zur fehlschloender Destinatioun passt. Den ale Standard ze läschen ass keng Léisung, an et hëlt d’Route ewech, déi de Client brauch, fir den Tunnel propper ofzebauen.

Wat def1 net deckt

Zwee IPv4-Bäiträg soen näischt iwwer IPv6: en Host mat IPv6-Konnektivitéit benotzt weider säin eegene Standard, bis eppes dës Famill separat ëmleedt, dofir schéngt en Deel vum Verkéier den Tunnel an engem Dual-Stack-Netzwierk z’ëmgoen. Aner Cliente a Netzwierkmanager implementéieren Full-Tunnel-Routing anescht, an hir Tables wäerten net iwwereneestëmmen. D’def1-Verhalen, dat hei beschriwwe gëtt, gehéiert zum dokumentéierte Fändel vun OpenVPN, net zu all VPN op der Maschinn.

E Kill-Switch beäntwert eng aner Fro: wat d’Maschinn mécht, wann den Tunnel fällt. D’Prioritéit vun de Routen entscheet, wou de Verkéier higeet, während den Tunnel uewen ass; et entscheet net, wat eng Firewall duerno mécht. Aarbechtsuerdnung: liest den Table, confirméiert datt béid Hallefte gëtt et, fuert ip route get fir déi fehlschloend Destinatioun aus, kontrolléiert d’Policy-Reegelen, an da kuckt IPv6 separat un. Loosst den ale Standard, wou en ass.

Ähnlech Artikelen