OpenVPN-Clienten iwwer Cloudflare route? Préift als éischt d'Roll
En Apparat-Client ass kee Router. Bestätegt datt d'Cloudflare-Roll d'Pakete vun aneren Hoste weiderschéckt, an haalt den eegenen Tunnel vum Server op sengem ale Wee.
Dir hutt een OpenVPN-Server dee funktionéiert an een Host deen och d'Apparat-Software vu Cloudflare ausféiert, an den nächsten offensichtleche Schrëtt gesäit aus wéi de Client-Trafic dohinner ze leeden. Zwee funktionéierend Verbindungen op enger Maschinn erginn nach kee Transit-Gateway. Wat feelt ass eng Roll déi dokumentéiert ass fir Paketen aner Leit weiderzeschécken, an eng Politik déi déi Paketen klassifizéiert wann se ukommen.
Virun all Regel kommen véier Froen: wéi en Trafic era kënnt, wou en duerno geet, wéi d'Äntwerten de Wee zeréck fannen, a wat den Design mécht wann déi zweet Wee versot. Déi éischt zwee si Froe vun der Fäegkeet.
Zwee Servicer op engem Host sinn keen Transit-Wee
Een Apparat-Client ass gebaut fir Trafic ze behandelen dee vun der Maschinn aus geet wou en drun leeft. En ënnerfänkt d'Nimm-Opléisung, oder ausgewielten Applikatiouns-Trafic, an schéckt en duerch säin eegenen Tunnel, an seng Politik ass fir de Benotzer vun deem Apparat an d'Prozesser vun deem Apparat geschriwwen. E Pak dat vun engem OpenVPN-Client weider geschéckt gëtt ass net lokal Ausgang, dofir klassifizéieren déi selwecht Reegelen en net. Dat ass keen Detail vun der Konfiguratioun deen een mat enger méi breeder Regel ka couvréieren, well en decidéiert ob d'Software de Pak iwwerhaapt gesäit.
Dofir ass d'Design-Fro eng Fro vun der Fäegkeet. Entweder huet deen installéierte Produit eng dokumentéiert Roll déi Trafic fir aner Netzwierker weiderschéckt, oder d'Transit-Funktioun gehéiert ganz där anerer Plaz.
Wéi eng Cloudflare-Roll däerf weiderschécken
Den Apparat-Client vu Cloudflare bitt Modusen déi sech am Ëmfang ënnerscheeden: nëmmen Nimm-Opléisung, Trafic vum Apparat, an heiansdo béides. Keen vun deene Modusen mécht den Host zu engem Router fir e private Beräich dee vun engem aneren Tunnel kënnt. Déi speziell Routing-Roll ass en eegene Produit mat sengem eegene Connector, senger Inschreiwung a sengem Netzwierk-Modell.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Préift déi installéiert Roll éier Dir Wee ronderëm se designt. Liest wéi eng Interface den Connector uleet, ob en spezifesch Prefixe oder eng Standard-Route annoncéiert, an ob déi lokal Politik och fir weidergeschéckte Pakete gëllt wéi fir lokal. Wann nëmmen lokalen Trafic behandelt gëtt, kann den OpenVPN-Server net de Transit-Punkt sinn, egal wéi d'Iwwersetzungsregel geschriwwe gëtt.
Hei muss och d'Ufuerderung vun engem ëffentlechen Ausgang präzis formuléiert ginn. En Ausgang deen Cloudflare fir weidergeschéckten Client-Trafic bitt ass en spezifesche Benotzungsfall, an en muss géint de Service bestätegt ginn deen Dir tatsächlech hutt.
Haalt den äusseren Tunnel onofhängeg vun der neier Route
Am Moment wou Dir eng Standard-Route op déi nei Interface bäifügt, fänkt den eegenen Ausgangs-Trafic vum Server un doriwwer ze konkurréieren, an dat enthält Äntwerten un d'OpenVPN-Clienten an Är SSH-Sessioun op d'Maschinn. Dat üblecht Symptom ass en Tunnel dee sech opbaut an dann stierft, oder en Administrateur deen ausgespaart gëtt wärend d'Ännerung schéngt geschafft ze hunn. Vergläicht ip route get fir den Endpunkt virun an duerno, a benotzt Policy-Routing oder eng Host-Route fir den eegenen Transport vum Server do ze halen wou en war. Maacht dëse Verglach vun der Maschinn selwer, well d'Vue vum Server op seng eegen Route déi ass déi zielt.
Eng Ausnam fir d'ëffentlech Adress vum Server ass net genuch eleng, well de Retour-Wee vun all entfernten Administrateur en aneren Floss ass. Entscheet wéi eng vun deene Flëss d'Ännerung mussen iwwerliewen, an duerno verifizéiert jiddwereen amplaz unzehuelen datt déi éischt de Rescht deckt.
Limitéiert d'Weiderschécken an d'Iwwersetzung op een Floss
Empfange Pakete follegen dem Weiderschéck-Wee, net dem lokalen Ausgangs-Wee, dofir lieft déi wichteg Regel am forward-Hoken. Wou déi nächst Interface Iwwersetzung brauch, limitéiert d'Quell op de Client-Pool, den Zil op dat wat erlaabt ass an den Ausgang op déi eng Interface. Eng masquerade-Regel déi nëmmen un eng Interface gebonnen ass wielt selwer keng Route a erlaabt kee Weiderschécken iwwer en aneren Filter.
Entscheet d'Verhalen beim Zougemaach-Fall am Viraus, an testt et duerno. Stoppt den nächsten Wee a bestätegt datt d'Clienten den intendéierten Ausgang verléieren amplaz sech roueg op den normale Uplink zeréckzezéien, well dat ass d'Resultat dat keen bemierkt bis den Trafic duerch déi falsch Dier erausgeet. Widderhlt d'Préifung fir d'Nimm-Opléisung an fir IPv6, well ee Reegel-Set nëmme fir v4 en v6-Wee op loosst.
Schreift déi véier Äntwerten op déi Dir Iech decidéiert hutt an d'Observatioun déi jiddwereen dovun beweist. En Transit-Wee deen Dir beschreiwe kënnt ass een deen Dir bei der nächster Incident-Iwwerpréiwung verdeedege kënnt.