Firwat e Wildcard an enger OpenVPN-Route-Direktiv net ka funktionéieren

d'Route installéiert Adressprefixer, also huet en Hostnumm-Muster näischt fir ze vergläichen. Benotzt e Prefix fir Netzwierker an e Proxy oder eng PAC-Datei, wann d'Domainen decidéiere mussen.

D'Intentioun ass raisonnabel: alles fir eng Firmendomain duerch den Tunnel schécken an de Rescht a Rou loossen. D'Direktiv déi editéiert gëtt installéiert Routes, an eng Route huet kee Konzept vun engem Hostnumm fir ze vergläichen. All Versuch, e Wildcard dran ze schreiwen, bréngt entweder e Parsfehler oder, wat schlimmer ass, eng Route déi haut zoufälleg funktionéiert well den Numm sech op eng Adress opgeléist huet. Zwou verschidde Mechanismen gi gefrot, déi Aarbecht vun där anerer ze maachen.

Wat eng Route installéiert, a wat se ni liest

En Route-Andrag seet, datt e Destinatiounsprefix iwwer eng Schnëttstell erreechbar ass. De Kernel vergläicht Pakete mat dëse Prefixen, also sinn déi eenzeg bedeelegt Identifikatoren Adressen a Masken. En Hostnumm erschéngt ni an der Weiderleeungs-Entscheedung, an dowéinst kann do kee Muster verglach ginn.

OpenVPN kann an e puer Route-Parameteren en opléisbaren Numm akzeptéieren, an déi Toleranz ass eng Quell vun Duercherneen. Den Numm gëtt opgeléist wärend d'Konfiguratioun ugewannt gëtt, wat eng oder méi Adressen ergëtt déi normal Routes ginn. Duerno ass den Numm komplett aus dem Bild verschwonnen.

Also ass eng Route déi aus engem Numm gebaut gouf en Amentbild, keng Regel. Si deckt wat deen Numm an dem Moment opgeléist huet wéi den Tunnel ugefaangen huet, an dat ass genee dat Verhalen dat Dir net wëllt fir eng Famill vun Hosten déi sech ännert. En Andrag dee muer verréckelt léisst d'Route op gëschter weisen.

Wann d'Destinatioun wierklech e Prefix ass

Wann d'Ziel en bekannte private Netzwierk ass, schreift de Prefix. Fir e Beispill aus dem Dokumentatiounsraum gesinn een eenzegen Host an en Ënnersubnet esou aus:

route 10.60.4.20 255.255.255.255
route 10.60.0.0 255.255.0.0

Béid Andräg nennen Adressen a Masken, a béid iwwerliewen DNS-Ännerungen well näischt drun vun engem Numm ofhänkt. Dat ass de ganze Virdeel: d'Route ass eng Ausso iwwer d'Topologie an net iwwer eng Sich déi eng Kéier geschitt ass.

Leet keen groussen Prefix aus enger eenzeger DNS-Antwert of. Een Hostnumm deen sech op eng Adress opléist seet Dir näischt iwwer d'Gréisst vum Netzwierk hannendrun, an e gerode Prefix ass de Wee wéi en Tunnel am Schluss Traffic fänkt deen keen virgesinn huet duerch en ze schécken. Frot den Netzwierkbesëtzer no dem tatsächleche Prefix amplaz en aus enger Sich ofzeleeden.

Wann d'Aarbechtseenheet en Hostnumm ass

D'Auswiel no Domain erfuerdert eppes wat d'Domain liest, also eng Komponent vun der Applikatiounsschicht. Déi üblech Äntwert ass en HTTP-Proxy deen op der anerer Säit vum Tunnel wunnt, woubäi de Client auswielt wéi eng Ufroen en him schéckt.

Eng Proxy-Konfiguratiounsdatei kann déi Auswiel ausdrécken. Déi illustrativ Regele hei drënner schécken eng Domain an hir Subdomaineen op e Proxy an alles anescht direkt:

function FindProxyForURL(url, host) {
    var h = host.toLowerCase();
    if (h === "corp.example" || dnsDomainIs(h, ".corp.example")) {
        return "PROXY 10.60.0.12:3128";
    }
    return "DIRECT";
}

De Verglach vum genauen Numm deckt d'Domain selwer of, an de Suffixverglach deckt hir Kanner of ouni en Numm ze treffen deen just mat ähnlechen Zeechen ophält. Béid sinn néideg, an ee fortloosse bréngt eng Regel déi richteg ausgesäit an de Spëtzepunkt oder en Imposter iwwerspréngt.

Dës Regele wielen e Proxy; se erschafen keen an se änneren keng Betribssystem-Route. D'Proxy-Adress brauch nach ëmmer hiren eegene Wee duerch den Tunnel, an Ufroen déi als direkt markéiert sinn, befollegen nach ëmmer déi Routingpolitik déi d'Maschinn schonn huet.

Wat d'Proxy-Optioun net deckt

Programmer déi d'Proxy-Konfiguratioun vum Browser ignoréieren, ginn duerch näischt dovun beaflosst. Kommandozeilen-Toolen, Updateren an Applikatiounen mat hirem eegenen Netzwierkstack huelen d'Route-Tabell, net d'PAC-Datei, also brauche sou Fäll e ënnerstëtzten Mechanismus pro Applikatioun oder en aneren Design. Inventariséiert d'Clienten déi zielen ier Dir versprécht datt d'Browserregel de Workflow deckt.

Direkt zréckzekommen ass och keng Auswee. Wann d'Routingpolitik vun der Maschinn schonn alles an den Tunnel schéckt, bleift eng Ufro déi als direkt markéiert ass dobannen, well d'Proxy-Auswiel an d'Route-Tabell verschidden Entscheedunge sinn déi op verschiddene Schichten geholl ginn.

Nummopléisung ass eng drëtt getrennt Fro. Auszewielen wéi eng Ufroen op e Proxy ginn seet näischt doriwwer wéi en Opléiser hinnen äntwert, an déi zwee als eng Astellung ze behandelen bréngt Lecks déi onsichtbar sinn bis een vun dobaussen testt. Entscheet wou all Ufro beäntwert gëtt a schreift déi Entscheedung nieft d'Proxy-Regel. En Opléiser deen sech ännert well den Tunnel eropkomm ass, wäert d'Äntwert roueg verréckelen.

Béid Weeër testen, net nëmmen dee glécklechen

Test en Hostnumm deen sollte passen, en Hostnumm deen net solle passen, an de Spëtzepunkt vun der Domain, well de Spëtzepunkt de Fall ass deen am dackste vun enger Regel nëmme mat Suffix verpasst gëtt. Bestätegt dann wéi ee Wee all Ufro tatsächlech geholl huet amplaz et doraus ofzeleeden ob d'Säit gelueden ass.

Zum Schluss test de Feelerzweig. En Proxy deen net erreechbar ass soll op eng Manéier feelen déi Dir virdrun entscheet hutt, amplaz roueg op eng direkt Verbindung zréckzefalen. D'Referenz fir Netzwierkoptiounen dokumentéiert d'Route-Parameter prezis; d'Domain-Halschent vun dësem Design lieft komplett dobaussen.

Ähnlech Artikelen