Een Linux-Kont duerch OpenVPN mat enger UID-Regel routen

Kontbaséiert Routing passt, wann all IPv4-Socket vun engem Linux-Benotzer duerch en existéierenden Tunnel soll erausgoen, an et passt net, wann Dir Isolatioun op Programmebene braucht. Et wielt no UID, also ass alles, wat ënner deem Kont leeft, am Beräich, och de Batchjob, deen Dir vergiess hutt. Kläert dës Fro, ier Dir eng eenzeg ip rule ufässt.

D'Beispill hei drënner geet vun engem eegene Browserkont op UID 1500 aus, engem Tunnelapparat tun-office mat der lokaler Adress 10.80.0.11, an engem VPN, deen déi betraffe Bestëmmungen erlaabt. Den Daemon selwer leeft baussent där UID.

Dräi Konditiounen, déi de Mechanismus wielen

Wielt eng UID-Regel, wann d'Identitéit, déi d'Aarbecht mécht, de Kont ass, wann et akzeptabel ass, säin ganzen Trafic ze verréckelen, a wann en Namespace méi schwéier wier, wéi d'Aufgab verdéngt. Wielt en Netzwierk-Namespace, wann d'Aarbechtslaascht seng eegen Interface, Resolver an Routingtabell brauch. Wielt e Proxy oder eng Bindung pro Prozess wann genau eng Applikatioun soll verréckelt ginn, wärend de Rescht vun der Sitzung um lokale Wee bleift. Déi dräi opzeschreiwen verhënnert eng Regel, déi stëll méi deckt wéi geduecht.

De Feeler, deen een vermeide soll, ass unzehuelen, datt en Starter den Eegentemer festleet. E Browser, deem d'Sitzung vun engem anere Benotzer eng URL gëtt, huet keng Sockets ënner UID 1500 erstallt, an eng Regel wäert den Trafic, deen en generéiert, net verréckelen.

D'Tabell, d'Regel an de Wiechter

Nodeems Dir déi existéierend Regele gepréift a onbenotzt Tabell- a Prioritéitsnummeren ausgewielt hutt, ass d'Uerdnung kuerz: eng Standardroute an enger eegener Tabell, déi d'Quelladress vum Tunnel dréit, eng Regel, déi d'Ufroe vum Kont an déi Tabell schéckt, an eng Ofschlossregel, déi de Réckfall blockéiert. Ausgeschriwwen ass dat eng idempotent Routenersetzung, ip -4 route replace default dev tun-office src 10.80.0.11 table 51820, gefollegt vun ip -4 rule add priority 12100 uidrange 1500-1500 lookup 51820.

De Wiechter ass ip -4 rule add priority 12101 uidrange 1500-1500 unreachable, an en zielt méi wéi seng Längt vermuten léisst. Ouni en fält eng fehlend Route an der Tabell 51820 op den normale Uplink duerch an de Kont verléiert stëll Trafic, deen d'Politik sollt fänken. Mat him gëtt dee selwechte Feeler en Timeout, also Blockéieren amplaz Réckfall.

Halt déi normal Regel fir lokal Adressen virun dësen, an entscheet bewosst, ob LAN- oder Verwaltungsausnamen virun déi gewielten Tabell gehéieren. Eng Standardroute, déi do fonnt gëtt, freet duerno net main no enger méi spezifescher LAN-Route, wat Leit iwwerrascht, déi erwaarden, datt déi längst Präfix-Iwwereneestëmmung iwwer Tabellen hig gilt. Schreift déi gezilten Ausnamlëscht an d'Ännerungsnotiz, soulaang d'Begrënnung nach frësch ass.

Wat UID-Routing ausléisst: DNS

En Resolver-Daemon mécht seng Upstream-Sockets ënner senger eegener UID op, also verréckelt d'Wiel vun 1500 déi Ufroe net an d'Tabell 51820. DNS-Integratioun ass eng separat Entscheedung: Richt de Kont op en Resolver, deen duerch den Tunnel erreechbar ass, oder akzeptéiert, datt Numm-Opléisung dem Wee vum Host folgt, den Trafic awer net.

Eng Loopback-Ufro un en lokale Stub ass kee Beweis, datt d'Upstream-Ufro de Wee vum Browser benotzt huet, an eng erfollegräich Säit aus dem Cache och net.

IPv6 brauch seng eege Saz am Design

D'Regele hei uewen decken nëmmen IPv4. Wann d'Ufuerderung en IPv4-Tunnel ouni direkt IPv6 vun dësem Kont ass, füügt eng gepréift Ofschlossregel derbäi wéi ip -6 rule add priority 12101 uidrange 1500-1500 unreachable, a préift dann fréier IPv6-Regele plus d'Loopback-Ausnamen, déi Dir behale wëllt.

Direkt IPv6 blockéieren ass keen Dual-Stack-Tunneling; et ass eng Grenz. Et Tunneling nennen wäert déi nächst Persoun, déi d'Politik liest, verwierren, an d'Verwierung daucht als Supportticket iwwer eng futti IPv6-Säit op.

Verifizéiert mam richtegen Kont, an iwwerhëlt dann de Liewenszyklus

Vergläicht Ufroen: ip -4 route get 198.51.100.25 uid 1500 géint déi selwecht Destinatioun mat enger normaler UID. Da maacht eng erlaabte Ufro ënner dem eegene Kont a préift d'Quelladress, déi de wäiten Enn gesäit. Eng bevorzugt Quelladress ass net source NAT, an et iwwerschreift keng Applikatioun, déi eppes anescht bindet. Wann béid Ufroe dee selwechte Wee zréckginn, mécht d'Regel net dat, wat Dir mengt.

Halt d'Tabell, d'Regele an d'Liewensdauer vun der Tunnelroute ënner engem Eegentemer, test eng Reconnectioun an e Tunnelverloscht, a wann d'Politik ofgebaut gëtt, läscht just seng genee Entréen. En Namespace ass nach ëmmer disponibel, wann separat Interface a separate Staat dat sinn, wat Dir wierklech braucht.