Sākat VPN klientu caur SSH? Vispirms piespraudiet savu maršrutu

Jūs pa SSH piesakāties būvēšanas resursdatorā, palaižat tajā VPN klientu, un sesija pārstāj atbildēt. Nekas nav sabrucis, un nekas neizskatās nepareizi konfigurēts acīmredzamā nozīmē. Klients instalēja noklusējuma maršrutu, tāpēc atbildes uz jūsu darbstaciju tagad iziet caur tuneli, kur jūsu darbstacijas adrese nav maršrutējama. Interesanti, ka šis iznākums bija paredzams, un labojums ir viens maršruts, kas tiek ierakstīts pirms klienta palaišanas. Pieņemsim serveri ar vienu tīkla karti, vārteju 192.0.2.254 un administratoru, kas pieslēdzas no 203.0.113.9.

Pierakstiet ceļu pirms sākšanas

ip route show default nosauc pašreizējo vārteju un saskarni, bet ip route get 203.0.113.9 parāda, kuru saskarni un avota adresi kodols izmantotu jūsu sesijai. Saglabājiet abas izvades. Pēc tuneļa pacelšanas šīm divām komandām joprojām jāapraksta fiziskais ceļš, un, ja tās apraksta tuneli, sesija jau dzīvo uz aizņemta laika.

Svarīgs ir jau izveidotais savienojums, tāpēc nepārbaudiet tikai ar jaunu pieteikšanos. Jauna sesija var īsu brīdi izdoties, pateicoties stāvoklim, kāda vecajai vairs nav.

Piespraudiet adresi paša klienta konfigurācijā

Ar roku pievienots maršruts pazūd pēc pārstartēšanas un sacenšas ar klienta paša tabulas atjauninājumiem, tāpēc izņēmumu lieciet tur, kur tabula tiek pārvaldīta. OpenVPN gadījumā atslēgvārds net_gateway tiek izšķirts uz vārteju, kas pastāvēja pirms tuneļa, tāpēc route 203.0.113.9 255.255.255.255 net_gateway patur tieši vienu adresi ārpus tās. WireGuard nepieciešama cita pieeja, jo wg-quick pats pārvalda maršrutus: iestatiet Table = off un pievienojiet izņēmumu PostUp, ar atbilstošu PostDown, kas to noņem. Abas formas izsaka to pašu nolūku, un abas ierobežo izņēmumu ar vienu adresi, nevis vājina tuneli visam.

IPv6 gadījumā tā pati ideja ņem viena resursdatora prefiksu, un ietītā transporta gadījums ir pelnījis atcerēšanos: ja paša tuneļa ārējais savienojums dzīvo fiksētā adresē, šai adresei jāpaliek ārpus tuneļa, ko tā nes, citādi klients maršrutē savu transportu pats sevī.

Vai arī izņemiet galveno tabulu no vienādojuma

Kad vairākiem resursdatora pakalpojumiem jāsaglabā savs parastais ceļš, pārtrauciet galvenās tabulas rediģēšanu un dodiet klientam savu. Tīkla nosaukumtelpa ar veth pāri to dara tīri: klienta noklusējuma maršruts dzīvo citā stekā, un tuneli izmanto tikai tā iekšienē palaistie procesi. Politikas maršrutēšana vienam galamērķim nonāk līdzīgā vietā, sūtot atbilstošo datplūsmu uz īpašu tabulu, kuras noklusējums joprojām norāda uz fizisko vārteju. Jebkura no pieejām atstāj resursdatora galveno tabulu bez jauna noklusējuma maršruta, un tieši šī īpašība notur SSH atbildošu.

Abas ir vairāk mehānisma nekā viens resursdatora maršruts, un abas ir tā vērtas, kad vairāk nekā viena lieta mašīnā ir jāiztur tunelis.

Pieņemiet, ka piespraušana var neizdoties

Maršruts, kas piesaistīts jūsu pašreizējai publiskajai adresei, salūzt tajā brīdī, kad jūsu pakalpojumu sniedzējs to atkal piešķir. Tad attālam serverim vajadzīgs ceļš, kas nav atkarīgs no šīs adreses: konsole, otra pārvaldības saskarne vai lēciena resursdators, kas paliek ārpus tuneļa.

Divi drošības pasākumi maksā desmit minūtes. Sargsuns, kas aptur klientu, ja dažu minūšu laikā neparādās apstiprinājuma pieteikšanās, pārvērš bloķēšanu kavējumā, un otra SSH sesija, kas mainīšanas laikā turēta atvērta, pierāda, ka izņēmums darbojas, kamēr tunelis ir augšā. Tikai keepalive šeit nepalīdz, jo ceļš ir pazudis, nevis dīkstāvē; tie tikai padara nāvi vieglāk pamanāmu.

Pārbaudiet tādā secībā, kāda ir nozīme

Pievienojiet tuneli, apstipriniet, ka maršruts uz jūsu adresi joprojām iziet caur fizisko vārteju, un tad atveriet jaunu sesiju. Ja jaunā sesija darbojas un vecā tomēr mirst, iemesls ir savienojumu izsekošana vai stāvokļa ugunsmūris, nevis maršrutēšana, un tas ir cits labojums.

Ierakstiet piesprausto adresi un komandu, kas to pierādīja, izmaiņu žurnālā. Nākamajam cilvēkam, kas šajā resursdatorā palaidīs klientu, vajadzēs abus, un adrese līdz tam laikam var būt mainījusies.