Start Dir e VPN-Client iwwer SSH? Pinn fir d’éischt Är eegen Route

Dir loggt Iech iwwer SSH op engem Build-Host an, start de VPN-Client do, an d’Sessioun heiert op ze äntweren. Näischt ass ofgestierzt, an näischt gesäit falsch konfiguréiert aus am offensichtleche Sënn. De Client huet eng Standardroute installéiert, sou datt Äntwerten op Är Aarbechtsstatioun elo duerch den Tunnel erausgoen, wou d’Adress vun Ärer Aarbechtsstatioun net routbar ass. Dat Interessant ass, datt dëst Resultat viraussobar war, an d’Korrektur ass eng Route, déi virum Start vum Client geschriwwe gëtt. Huele mer u: e Server mat enger eenzeger Netzkaart, e Gateway vun 192.0.2.254, an en Administrateur, dee vun 203.0.113.9 aus verbënnt.

Notéiert de Wee, ier Dir ufänkt

ip route show default nennt dee momentanen Gateway an d’Interface, während ip route get 203.0.113.9 weist, wéi eng Interface a Quelladress de Kernel fir Är Sessioun benotze géif. Halt béid Ausgabe fest. Nodeems den Tunnel ugeet, sollten déi zwou Kommandoen nach ëmmer de physesche Wee beschreiwen, a wann se amplaz den Tunnel beschreiwen, lieft d’Sessioun schonn op geluerschter Zäit.

Et zielt déi bestoe Verbindung, also validéiert net just mat enger neier Umeldung. Eng nei Sessioun kann kuerz duerch en Zoustand geléngen, deen déi al net méi huet.

Pinn d’Adress an der Konfiguratioun vum Client selwer

Eng Route, déi vun Hand dobäi kënnt, verschwënnt beim Neistart a rennt mat den eegenen Tabell-Aktualiséierunge vum Client, also setzt d’Ausnam dohi, wou d’Tabelle geréiert gëtt. Ënnert OpenVPN léist d’Schlësselwuert net_gateway op de Gateway op, deen virum Tunnel existéiert huet, sou datt route 203.0.113.9 255.255.255.255 net_gateway genee eng Adress dobausse behält. WireGuard brauch en aneren Usaz, well wg-quick d’Routen selwer geréiert: setzt Table = off a füügt d’Ausnam an PostUp derbäi, mat engem passenden PostDown, deen se erëm ewechhëlt. Béid Formen drécken déiselwecht Absicht aus, a béid beschränken d’Ausnam op eng Adress, amplaz den Tunnel fir alles ze schwaächen.

Fir IPv6 hëlt déiselwecht Iddi e Präfix vun engem eenzegen Host, an de Fall vum encadréierte Transport ass et wäert ze erënneren: wann d’äusser Verbindung vum Tunnel selwer op enger fixer Adress lieft, muss déi Adress dobausse vum Tunnel bleiwen, deen se dréit, soss routt de Client säin eegenen Transport an sech selwer.

Oder hëlt d’Haapttabelle aus der Equatioun

Wann e puer Servicer um Host hire normale Wee mussen halen, hält op d’Haapttabelle ze änneren a gitt dem Client seng eegen. En Netz-Nummraum mat engem veth-Puer mécht dat propper: d’Standardroute vum Client lieft an engem aneren Stack, a just Prozesser, déi dobannen ugefaange goufen, benotzen den Tunnel. Policy-Routing erreecht eng ähnlech Plaz fir een Zil, andeems et de passenden Traffic an eng eegen Tabell schéckt, där hire Standard nach ëmmer op de physesche Gateway weist. Béid Approche loosse d’Haapttabelle vum Host ouni eng nei Standardroute, an et ass dës Eegeschaft, déi SSH äntwerend hält.

Béid sinn méi Maschinerie wéi eng eenzeg Host-Route, a béid si wäert, wann méi wéi eng Saach um Apparat den Tunnel muss iwwerliewe.

Huele mer un, datt d’Pinning ka feelen

Eng Route, déi un Är aktuell ëffentlech Adress gebonnen ass, brécht dee Moment, wou Äre Provider se nei zoudeelt. En entfernte Server brauch dann e Wee, deen net vun där Adress ofhänkt: eng Konsole, eng zweet Management-Interface oder en Iwwersprang-Host, dee baussen dem Tunnel bleift.

Zwou Sécherheetsmoossnamen kaschten zéng Minutten. En Watchdog, deen de Client stoppt, wann eng Bestätegungs-Umeldung net bannent e puer Minutten erschéngt, verwandelt eng Aussperrung an eng Verzögerung, an eng zweet SSH-Sessioun, déi während der Ännerung opgehalen gëtt, beweist, datt d’Ausnam funktionéiert, wärend den Tunnel uewen ass. Just keepalives hëllefen hei net, well de Wee fort ass an net idl; se maachen den Doud just méi einfach ze bemierken.

Verifizéiert an der Rei, déi zielt

Verbannt den Tunnel, bestätegt, datt d’Route op Är Adress nach ëmmer iwwer de physesche Gateway erausgeet, an öffnet dann eng nei Sessioun. Wa mat der neier Sessioun alles geet an déi al trotzdeem stierft, ass d’Ursaach Connection Tracking oder eng stateful Firewall an net Routing, wat eng aner Korrektur ass.

Schreift d’gepinnt Adress an de Kommando, deen se bewisen huet, an de Ännerungsregistr. Déi nächst Persoun, déi op deem Host e Client start, brauch béides, an d’Adress wäert bis dohinner vläicht geännert hunn.