Wien sollt d'Routen an den DNS besëtzen, wann openfortivpn sech verbënnt?

Véier Etappe stapelen sech an enger funktionéierender openfortivpn-Sessioun openeen. De Client authentifizéiert sech um Gateway an startet eng TLS-Verbindung, fuerdert dann PPP bannent dëser Verbindung aus, kritt duerno eng Adress an DNS-Informatiounen, a setzt schlussendlech Host-Routen a Resolver-Astellungen duerch. All Etapp kann lieweg sinn, während déi nächst et net ass, an dofir ass „verbonnen“ esou e glësseg Wuert an den Ënnerstëtzungsfiedem.

D'Decisioun, déi de meeschten Duercherneen ewechhëlt, ass wien déi lescht Etapp besëtzt. Entweder den VPN-Client setzt d'Host-Ännerungen selwer duerch, oder eng aner Komponent mécht et, an déi zwee op hallwem Wee ze mëschen ass de Grond, firwat Routen an Resolver-Fichieren am Enden ënnerschiddlech Sessiounen beschreiwen.

Véier Etappe wéi eng eenzeg Verbindung ausgesinn

Déi éischt Etapp ass den Zougang. eng genannte Authentifikatiounsdomain oder en eenmolgen Code, a kritt d'Parameteren, déi et brauch fir virun ze goen. Wann de Client dréckt, datt et mam Gateway verbonnen ass, heescht dat, datt den TLS-Transport steet. Et heescht net, datt PPP verhandelt huet, an et heescht sécher net, datt eng intern Applikatioun erreechbar ass.

Déi zweet Etapp ass d'PPP-Verbindung. De Client startet e PPP-Prozess géint den Tunnelapparat, an déi zwou Säite verhandelen Linkoptiounen an Adressen. Eréischt duerno weess den Host, wéi eng lokal a wäit Adressen d'Sessioun benotzt, an eréischt dann kann eng Route an den Tunnel erginn.

Déi drëtt Etapp ass dës Informatiounen um Host unzewennen, an hei zielt d'Besëtzverhältnis. De Client kann d'Routen derbäisetzen an d'Resolver-Konfiguratioun nei schreiwen, oder et kann him gesot ginn, sech zréckzezéien an déi zwee deem ze iwwerloossen, wat soss den Netz op där Maschinn verwalt. D'README vum Projet beschreift dëst als getrennte Verantwortungen anstatt als eng automatesch Verhalen.

Wien d'Routingtabell beaarbecht

Standardméisseg ass de Client de Besëtzer. En setzt eng Route Richtung Gateway iwwer d'physesch Interface derbäi, eng Route fir de Peer vum Tunnel an d'Routen fir d'Netzwierker, déi d'Sessioun benotze muss, an hëlt se erof, wann de Prozess erausgeet. Dee Standard ass bequem op engem Laptop mat engem eenzegen Netzwierkmanager an ouni aner VPN-Software.

Wielt d'Iwwerleeung nëmmen, wann iets anescht wierklech d'Routing besëtzt. Eng Integratioun vum Netzwierkmanager, en Netzwierknamespace vun engem Container oder en Agent fir d'Routing vum ganze Site wëssen vläicht schonn, wéi déi selwecht Präfixer installéiert a geseent ginn. D'Option no-routes ze ginn verhënnert dann, datt zwee Schreiwer ëm déi selwecht Tabell kämpfen, wat e Course ass, deen als intermittéierende Verloscht vun engem Subnetz opdaucht an net als propperen Ausfall.

D'Iwwerlagerung ass den zweete Grond fir ze iwwerleeën. Wann déi gedriwwen Routen e Präfix enthalen, deen den lokalen Netz schonn benotzt, kann de Client de Konflikt net fir Iech léisen. Een muss entscheeden, ob dat Präfix duerch den Tunnel, duerch de physesche Link oder duerch eng spezifesch Route erreechbar ass, an déi Decisioun gehéiert deen, deen d'Topologie besëtzt.

D'Botzen ass den drëtten. E Client, deen zesummebrécht ier en seng Routen ewechhëlt, léisst e schwaarzt Lach hannerloossen, dat d'Sessioun iwwerlieft, an déi nächst Verbindung kann en Duplikat drop setzen. Wien d'Routing besëtzt, besëtzt och d'Préiwung, datt déi al Entréen fort sinn. Maacht dës Kontroll en Deel vum Startwee, net en optionale Botzschrëtt.

Wien den DNS an d'Resolver-Fichier besëtzt

Den DNS ass déi selwecht Decisioun mat méi schaarfen Känn. De Client kann d'DNS-Server unhuelen, déi de Gateway oder de PPP-Peer mellen, an se an der Resolver-Konfiguratioun vum Host aschreiwen. Op enger einfacher Maschinn ass dat genee dat, wat Dir wëllt, well intern Nimm dann nëmmen geléist ginn, wärend den Tunnel steet.

Op engem moderne Linux-Host kann de Resolver vun engem lokale Stub verwalt ginn, an d'Resolver-Fichier hannert dem Rëck vun deem Stub nei ze schreiwen ergëtt eng Konfiguratioun, déi richteg ausgesäit an sech inkonsistent behëlt. Wann den Host schonn e Resolver-Manager bedreift, loosst en den DNS besëtzen a fidderen en d'Server vum Tunnel iwwer seng ënnerstëtzt Interface. Dem Client seng no-dns-Option ass do déi richteg Wiel, net en Emwee.

Split-DNS ass eng getrennte Fro vu wien de Fichier schreift. All Ufro duerch den Tunnel ze schécken ass einfach a lues; nëmmen intern Zonen duerch en ze schécken erfuerdert eng Konfiguratioun pro Domain, déi déi meescht einfach Clienten net ubidden. Entscheet, wéi eng Verhalen den Host brauch, ier Dir dem Client seng Resolver-Ännerungen aschalt. Eng falsch Wiel hei gesäit aus wéi en NummOpléisungs-Ausfall, och wann den Tunnel selwer gutt ass.

Privileg, Bereetschaft an d'Iwwerleeung

Den Tunnelapparat ze schafen an Host-Routen oder Resolver-Zoustand ze beaarbechten erfuerdert erhéicht Netzwierkautoritéit. De gewéinleche Fehler ass ze schléissen, datt dofir alles als root muss lafen, inklusiv de Browser oder d'Applikatioun, déi den Tunnel benotzt. Halt den privilegiéierten Deel kleng: de Client an säi Konfiguratiounsfichier, am Besëtz vun engem Administrateur, während Benotzerapplikatiounen hire normale Kont behalen.

Bereetschaft soll pro Konsument definéiert ginn. En Iwwerwaacher kann den Service als gestart betruechten, wann de Clientprozess leeft an den Tunnelapparat existéiert. Eng Backupsaufgab soll d'VPN nëmmen als benotzbar betruechten, wann hiren Späicher-Endpunkt duerch den Tunnel äntwert. Dat si verschidde Kontrollen, an déi méi schwaach fir den méi staarken Zweck ze benotzen ergëtt Aarbechten, déi ze fréi ufänken an intermittent ausfalen. Schreift déi gewielte Definitioun op, well en Iwwerwaacher an eng Aufgab, déi sech iwwer d'Bereetschaft net eens sinn, en Ënnerstëtzungsticket ass, deen drop waart ze geschéien.

Test de Kontrakt mat véier Observatiounen: d'Gateway-Etapp fäerdeg gëtt, PPP verdeelt Adressen, déi virgesinn Route ass präsent, an eng Ufro un en internen Host geléngt. Stopp da de Client a bestätegt, datt jiddwereent dovun ewechgeholl oder restauréiert gouf. Wann den Host nach intern Nimm léist oder nach eng Route hält, nodeem den Tunnel zou ass, ass d'Iwwerleeung vun der Proprietéit net komplett.