OpenVPN redirect-gateway: wat all Fändel mat de Route mécht

Verbind dech mat redirect-gateway am Profil, an d'Standardroute vun dengem Rechner kann verschwannen, sech an zwee deelen oder genee do bleiwen, wou se war, jee nodeem wéi eng Fändelen dru sinn, déi keen zweemol liest. D'Optioun ännert just den Zoustand vum Routing an soss näischt, also ass deen eenzegen zouverlässegen Noweis, wat se gemaach huet, den Tabell, deen de Client duerno installéiert huet. Wat duerno kënnt, ass den Tabell no enger Verbindung, d'Route, déi den Tunnel selwer lieweg hält, an den IPv6-Trafic, deen d'Direktiv ni behaapt ze decken. All Schrëtt ass eng Kommando, déi s du um Client ka lafe loossen, wärend den Tunnel un ass.

Wat all Fändel mat der Standardroute mécht

Ouni ee Fändel hëlt d'Optioun déi gewéinlech Standardroute ewech an setzt den Tunnel op hir Plaz, sou datt den ale Gateway aus dem Tabell verschwënnt, wärend d'Verbindung un ass. Setz def1 derbäi an déi Standard bleift an der Lëscht, zwou méi schmuel Route maachen d'Aarbecht. Setz bypass-dhcp derbäi an och d'DHCP-Route bleift, wat an engem Netzwierk zielt, wou de Client nach ëmmer de lokalen DHCP-Server muss erreechen. D'Lëscht vun de Fändelen op der Handbuchsäit vun OpenVPN 2.6 ass kuerz genuch fir eng Kéier ze liesen, an all Andrag ännert, wéi eng Route schlussendlech an den Tabell kommen.

Eng gedréckt Optioun verhält sech genee sou, soubal se ukomm ass, dofir kann de Clientprofil guer näischt enthalen, wärend den Tabell komplett ëmgeleet ausgesäit. Dat ass normal: de Server huet d'Fändelen geschéckt, de Client huet se ugewannt, an déi lokal Datei huet d'Direktiv ni ernimmt. Wann en Drécken näischt ze maachen ausgesäit, kontrolléier de Filter op der Clientsäit, dee gezunnen Optiounen unhëlt oder verwerft, well eng verworf Optioun op kenger Säit e Feeler gëtt.

def1 gewënnt duerch Spezifizitéit ouni deng Standardroute unzeréieren

Zwou hallef Standardroute decken zesummen den IPv4-Raum, 0.0.0.0/1 an 128.0.0.0/1. Jiddwereng ass spezifescher wéi 0.0.0.0/0, dofir bevirzugt eng Sich se, wärend déi richteg Standard am Tabell bleift fir alles, wat déi mannst spezifesch Iwwereestëmmung freet.

Lies den Tabell an net de Profil, well just den Tabell weist, an wat fir engem vun deene Fäll s du bass. Zwou Zeile genuch fir se z'ënnerscheeden:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Kuck op d'Interface an de Metrik an all Zeil, net just op den Destinatioun. Eng Standard, déi op den Tunnel weist, an eng Koppel hallef Standard, déi op den Tunnel weisen, beschreiwen déiselwecht Absicht a fale verschidde wann den Tunnel fält, well de Réckwee an engem Fall nach existéiert. Schréif béid Felder an d'Ännerungsnotiz. En iwwerliewenden Réckwee ass heiansdo dat, wat eng Fernsitzung laang genuch lieweg hält, fir den Tunnel ze flécken, an et ass och dat, wat Trafic leckt, wann d'Absicht en kompletten Tunnel war.

Halt den Endpunkt vum Tunnel erreechbar

De Client brauch eng Route bis zum wäiten Enn vum Tunnel, déi selwer net duerch den Tunnel geet. OpenVPN installéiert déi Hostroute, ier et eppes anescht ännert, an eng manuell Routeännerung oder en zweeten VPN-Client kënnen se ewechhuelen. De Symptom duerno ass eng Verbindung, déi sech als verbonnen mëllt an dann näischt duerchléisst.

Fro de Kernel, wéi eng Interface hie fir d'Endpunktsadress géif benotzen, wärend den Tunnel un ass. D'Äntwert muss d'physesch Interface an hire Gateway nennen, ni tun0:

ip route get 198.51.100.20

Wann déi Sich den Tunnelapparat zréckgëtt, dréit den Tunnel säin eegenen Transport a fällt zesummen, soubal e Paket muss eraus. Lokal Prefixen, en zweeten Adapter an d'Politik-Routing zielen nach ëmmer hei, dofir kann eng Ëmleedung, déi op engem proppere Laptop funktionéiert, op engem Host mat enger Verwaltungsinterface an zwou Standardroute feelen. Meeschtens gëtt de Profil beschëllegt fir dat, wat den Adressplang gemaach huet.

IPv6-Trafic benotzt weider säin eegenen Tabell

IPv4 ëmleeden léisst IPv6 a Rou, an déi zwou Famille ginn duerch verschidde Fändelen geännert. Op engem Dual-Stack-Host mat enger funktionéierender v6-Standard kann v4-Trafic komplett am Tunnel sëtzen, wärend all v6-fäeg Zil iwwer de physesche Link erausgeet. En Host, deen an engem Tabell richteg ausgesäit, leckt am aneren.

Kontrolléier den v6-Tabell no der Verbindung, amplaz unzehuelen, den Tunnel hätt en iwwerdeckt. D'Direktiv dréit Adressfamill-Fändelen genau dofir, an e Profil, deen se ewechléisst, ierft wat d'Plattform standardméisseg mécht:

ip -6 route show default
ip -6 route get 2001:db8::10

Beweis, wéi eng Interface eng Applikatioun benotzt

En Zoustand verbonnen ass kee Block, an eng Routeännerung ass kee Kill Switch. Wann direkten Trafic muss stoppen, wann den Tunnel fält, da lieft déi Politik an der Firewall an brauch säin eegenen Test.

Test de Wee, deen eng Applikatioun wierklech hëlt, amplaz dee Wee, deen de Profil beschreift. Fro fir d'éischt d'Route, bind dann eng Ufro noeneen un all Interface a vergläich, wat déi wäit Säit mëllt:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Wann béid Ufroe déiselwecht Adress zréckginn, benotzt d'Applikatioun den Tunnel net, obwuel den Routingstabell seet, et misst. Wann just d'Ufro, déi un den Tunnel gebonnen ass, geléngt, ass de physesche Wee fir dat Zil gefiltert an den Tunnel mécht, wat s du gefrot hues. Schréif d'Fändelen, déi installéiert Routen, d'Endpunktsich an déi zwee Egressresultater an d'Ännerungsprotokoll, sou datt déi nächst Persoun Fakten ierft an net e Screenshot.