Бүрэн туннель таны SSH сессийг алсан: буцах замыг тогтоо

SSH-ээр ажиллаж байгаа машинд OpenVPN клиент ажиллуулахад командын дунд сесс хөлддөг. Туннель холбогдсон гэж мэдээлдэг, хост түүгээр интернетэд хүрдэг, таны товчлуурын даралт ирсээр байдаг ч юу ч буцаж ирдэггүй. Өөрчлөгдсөн зүйл нь туннель биш: энэ нь танд хаяглагдсан пакетуудын буцах зам бөгөөд одоо шинэ анхдагч маршруттай таарч, алсын гарц таны ширээнд хүрэхэд ашиглахгүй туннельд ордог.

redirect-gateway үнэндээ юу суулгадаг вэ

Өөрийн def1 хэлбэрээр redirect-gateway анхдагч маршрутыг дарж бичихийн оронд 0.0.0.0/1 болон 128.0.0.0/1 нэмдэг. Эдгээр хоёр хагас нь бүх хаягийн орон зайг хамарч, хоёулаа 0.0.0.0/0-аас урт префикс хэвээр үлддэг тул илүү тодорхой тохиролгүй аливаа очих газар одоо туннельд ордог. Энэ бол санаж үлдэх механизм, учир нь доорх засвар бүр илүү тодорхой тохирол суулгах замаар ажилладаг.

Таны админ хаяг эдгээр очих газрын нэг юм.

VPN сервер нь өөрийн клиентүүдийн урсгалыг интернет рүү дамжуулдаг. Түүнд таны холбогдож буй нийтийн хаяг руу маршрут байхгүй бөгөөд тэдгээр пакетыг клиентээс ирж буй урсгалаас өөрөөр үзэх ямар ч шалтгаан байхгүй тул тэдгээрийг хаядаг. Энэ хооронд таны илгээсэн хүсэлт хостод хүрсэн, тиймээс сесс зөвхөн нэг талаас амьд харагдаж байна.

ip route show table main | head -n 20
ip route get 198.51.100.23

Эх хаягаа болон туннелийн өмнөх замаа олоорой

Сервер дээр тогтоосон SSH холболтыг жагсааж, түүний хаанаас ирсэн тэнцүү хаягийг тэмдэглээрэй. Яг тэр хаягийг таны буцах маршрут хамрах ёстой бөгөөд энэ нь үргэлж таны бодож байгаа хаяг биш: үсрэх хост, NAT гарц эсвэл операторын орчуулагч өөр эх сурвалж тавьж болно.

Дараа нь туннель эхлэхийн өмнө урсгалыг зөөж байсан физик гарц болон интерфейсийг олоорой. def1 зохион байгуулалтад анхдагч маршрут хагас анхдагчдын доор байсаар байгаа тул мэдээлэл боломжтой, гэхдээ урт маршрутын хүснэгтийг нүдээр унших нь алдаа дуудаж байна.

Хоёр утга болон интерфейсийн нэрийг хамт бичээрэй, учир нь нэмэх гэж буй маршрутад гурав ч хэрэгтэй. Хэрэв хост дээд холбоосоо сонгохдоо бодлогод суурилсан маршрутлалтын дүрэм ашигласан бол энгийн маршрут огт авч үзэгдэхгүй байж болох бөгөөд энэ боломж засварыг өөрчилдөг.

Хагас анхдагчдыг давсан хост маршрут тогтоо

Нэг /32 маршрут хоёр хагас анхдагчаас аль алинаас нь урт тул таны хаяг руу очих хариулт туннелийн оронд түүнийг сонгодог. Дараагийн хоп нь туннелийн өмнөх гарц, төхөөрөмж нь физик интерфейс бөгөөд энэ нь пакетыг туннель үүсэхээс өмнө ашиглаж байсан замд нь үлдээдэг.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Хүснэгтийг харахын оронд хайлтаар шалгаарай: хариултад eth0 болон гарцыг нэрлэх ёстой, хэзээ ч tun0 гэж болохгүй.

OpenVPN аль хэдийн VPN серверийн өөрийн хаяг руу хост маршрут ижил шалтгаанаар нэмдэг тул загвар нь танил бөгөөд админ хаяг нь зүгээр л өөр нэг үл хамаарах зүйл юм. Үүнийг засахын тулд route-nopull руу бүү тэмүүл, учир нь энэ нь туннельд хэрэгтэй түлхэгдсэн маршрутуудыг, түүний дотор алсын сүлжээ болон DNS сонголтыг хаядаг.

Дахин холбогдоход тэсвэртэй болго

Гараар нэмсэн маршрут клиент дахин холбогдож өөрийнхийг суулгахад алга болдог бөгөөд энэ нь засварыг давтагдах тасалдал болгоно. Командыг маршрутууд суулгагдсаны дараа ажилладаг зүйлд холбоорой.

Жишээ нь, route-up скрипт болон сүлжээний менежерийн pre-up дэгээ хоёулаа ажилладаг бөгөөд найдвартай шалгалт нь дахин холбогдож, дараа нь мөнөөх хайлт юм.

Windows дээр адил нь -p-аар нэмдэг байнгын маршрут бөгөөд дахин ачааллыг тэсвэрлэдэг ч сүлжээ өөрчлөгдсөний дараа зөв гарц руу заах ёстой. Платформ ямар ч байсан, маршрутын хажууд шалтгааныг бичээрэй: дараагийн админд энэ нь сүлжээний загвар шаардсанаас биш, удирдлагын сессийг хамгаалахын тулд байгааг мэдэх хэрэгтэй.

Тогтоосон маршрут хангалтгүй байхад

Буцах замын шүүлтүүр нь нэг интерфейс дээр ирж нөгөөгөөр гарч буй пакетыг хаяж болох бөгөөд тогтоосон маршрут яг үүнийг үүсгэдэг. Ямар нэг зүйлийг глобалаар унтраахаас өмнө rp_filter-ийн үр дүнтэй утгыг шалгаж, шалгалтыг унтраахын оронд тэгш бус байдлыг засахыг илүүд үзээрэй. Интерфейс тус бүрийн тохиргоо үйлчилдэг бөгөөд loose горим нь пакетыг хаяхын оронд тэгш бус байдлыг тэмдэглэх нь элбэг. Шүүлтүүр буруутай гэж дүгнэхээс өмнө хоёуланг нь уншаарай.

Бодлогод суурилсан маршрутлалттай хостод маршрутын хажуугаар дүрэм ч хэрэгтэй, учир нь дүрмийн суурь нь доторх маршрутыг авч үзэхээс өмнө хүснэгтийг сонгодог. main хүснэгтийн маршрут нь өөр хүснэгт рүү заасан дүрэмд тохирох урсгалд үл үзэгдэх юм. main руу ямар нэг зүйл нэмэхийн өмнө дүрмүүдийг уншаарай. Хэрэв дүрэм удирдлагын урсгалыг аль хэдийн хамарч байгаа бол үл хамаарах зүйл нь тэр дүрмийн хүснэгтэд хамаарна.

Туршилтын үеэр зурвасаас гадуурх консолыг нээлттэй байлгаж, ашиглаж байгаа нэвтрэлтийг салгахаас өмнө хоёр дахь нэвтрэлтээс дахин шалгаарай. Өөрийн удирдлагын урсгалыг туннель рүү илгээдэг маршрут нь үүнийг засаж байгаа холболтыг таслана. Тэгэхэд буцаж орох нь цуваа консол эсвэл аврах ачаалалт шаарддаг бөгөөд энэ нь нэг шалгалтын алхмыг алгасахын тулд муу солилцоо юм.