Divas vārtejas, viens VPN: kāpēc OpenVPN izvēlas nepareizo augšupējo saiti

Divas augšupējas saites, viens tunelis, un trafiks iziet caur to, kuru jūs neizvēlējāties. Privātie apakštīkli ir sasniedzami, žurnāls ziņo par veiksmīgu savienojumu, un tieši uzskaites saite to pārvadā. OpenVPN izvadē nekas nav minēts par vārteju, jo klients nekad nav izvēlējies nevienu. Tas atvēra ligzdu uz attālu adresi un ļāva kodolam izlemt, kā šo adresi sasniegt.

Tuneļa adrese nav galapunkts

Katrā sesijā ir divi dažādi ceļi. Ārējais ceļš pārvadā šifrēto transportu uz servera publisko adresi. Iekšējais ceļš pārvadā visu, ko serveris iebīda tunelī, un viena maršrutēšanas noteikumi neietekmē otru.

Profila remote ieraksts nosauc ārējo galamērķi, tāpēc tieši šī adrese ir jāpiespraudž. Tā ir arī vērtība, kas mainās, kad resursdatora nosaukums tiek atrisināts citādi vai profils uzskaita vairākus remote ierakstus.

Atrodiet adresi, uz kuru klients patiešām zvanīja

Lasiet dzīvo ligzdu, nevis konfigurācijas failu. Ligzdu tabula parāda partneri, ar kuru process patiešām savienojās, un tā ir vērtība, kurai izņēmumam jāatbilst. Profilu var rediģēt pēc sesijas sākuma, un ligzda ir vienīgais pierādījums par to, uz ko tika zvanīts:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Žurnāla rinda nosauc partnera adresi un portu savienojuma brīdī. Ja tā neatbilst profilam, kaut kas klienta priekšā pārraksta galamērķi pirms savienojuma sākuma.

Pārbaudiet arī adrešu saimi. Divu steku profils var savienoties caur IPv6, kamēr jūsu izņēmums aptver tikai IPv4, un tad trafiks seko citam noteikumam nekā tam, ko rakstījāt. Tas pats attiecas uz starpniekserveri, kas atbild galapunkta vārdā. Abos gadījumos rodas tunelis, kas darbojas, kamēr jūsu maršruts nedara neko.

Piespraudiet galapunktu un nolasiet politikas secību

Maršruts uz resursdatoru ir konkrētāks par jebkuru noklusējuma maršrutu. Tāpēc partnera adreses /32 uzvar tabulā, kas to satur. Parastā forma skaidri nosauc vārteju un ierīci:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Šis maršruts palīdz tikai tad, ja meklēšana sasniedz šo tabulu. Politikas noteikumi tiek vērtēti secīgi, un pirmais atbilstība izšķir, tāpēc noteikums, kas visu sūta uz otru tabulu, apiet jūsu maršrutu uz resursdatoru main tabulā. Izlasiet noteikumus, pirms pieņemat, ka maršruts ir autoritatīvs:

ip rule show
ip route get 203.0.113.40

Uzjautājiet otro komandu ar to pašu avota adresi vai atzīmi, ko klients izmanto, kad politika no tām ir atkarīga. Tā ziņo maršrutu, kuru kodols izvēlētos, un tas ir pierādījums par meklēšanu, nevis pierādījums, ka dzīvā ligzda izmanto šo ceļu.

Kad galapunkts pārvietojas

Resursdatora nosaukums, kas atrisinās uz vairākām adresēm, padara pastāvīgu /32 nederīgu, tiklīdz atbilde mainās. Profilam ar vairākām remote rindām ir tā pati problēma, jo klients var nosēsties uz jebkuru no tām. Atsvaidziniet maršrutu no paša klienta dzīves cikla āķiem, nevis pievienojiet to ar roku. up skripts, kas nolasa saskaņoto partneri un instalē maršrutu uz resursdatoru, uztur izņēmumu saskaņotu ar realitāti, un atbilstošs down skripts to noņem.

Reģistrējiet atsvaidzināšanu tajā pašā vietā, kur atrodas pārējā resursdatora maršrutēšanas konfigurācija. Maršruts, kas pastāv tikai līdz nākamajai pārstartēšanai, ir tests, nevis labojums.

Turiet iekšējo politiku atsevišķi

Ārējā ceļa pārvietošana nedod piekļuvi jaunam privātam apakštīklam un nemaina, kurus galamērķus serveris iebīda tunelī. Apakšējā slāņa maršruts izvēlas vadu; iebīdītie maršruti izvēlas, kas iekļūst tunelī. Tieši šo divu lēmumu atdalīšana padara sadalījumu paredzamu.

Ja mērķis ir tikai turēt šifrēto transportu prom no uzskaites saites, atstājiet noklusējuma maršrutu mierā un pievienojiet vienīgo resursdatora izņēmumu. Visas mašīnas noklusējuma maršruta aizstāšana viena VPN savienojuma pārvietošanai sabojā jebkuru citu lietojumprogrammu resursdatorā.

Apstipriniet rezultātu ar diviem neatkarīgiem novērojumiem: ligzdas vietējo adresi un ierīci, un maršrutu, uz kuru atrisinās privātais galamērķis. Kad abi atbilst jūsu nodomam, sadalījums ir īsts. OpenVPN 2.6 rokasgrāmata aptver remote un vietējās piesaistes opcijas, kas nosaka, uz kuru adresi klients zvana.