Ногоон дүрс, ижил нийтийн IP: VPN аль замыг алгасав

Холбогдсон, тавиурын дүрс ногоон, хаягийг буцааж харуулах хуудас нийлүүлэгчийн хаягийг хараахан харуулж байна, гэхдээ энэ нь автоматаар гэмтэл гэсэн үг биш. Клиент хоёр тусдаа ажил хийдэг: туннель барьдаг, мөн чиглүүлэлтийн хүснэгтийг засдаг. Аль нэг нь нөгөөгүйгээр тохиолдож болох бөгөөд сонгомол чиглүүлэлт нь хоёр дахь нь санаатайгаар алгасагддаг тохиргоо юм.

Клиент үнэндээ юу суулгасан

Туннель боссон эсэхийг асуухын оронд пакетыг бодит очих газарт аль интерфейс хүргэхийг асуу. Тэр очих газарт замгүй туннель бол хэн ч явахгүй хувийн зам.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Эхний команд нь Linux болон macOS дээр хариулдаг, үлдсэн хоёр нь Windows дахь дүйцэл бөгөөд нэг нь хангалттай. Хэрэв хариулт физик адаптерыг нэрлэвэл туннель боссон бөгөөд анхдагч зам хэзээ ч хөдлөөгүй. Туннелийг ашиглах ёстой очих газарт шалгалтыг давтана уу, учир нь хоёр шалгалт, нэг нь алслагдсан, нөгөө нь энгийн, аль загвар хэрэгжиж байгааг хэлнэ.

Сонгомол чиглүүлэлтийн гурван хэлбэр

Бүрэн туннелийн профайл ихэвчлэн интерфейс рүү чиглэсэн анхдагч зам бичдэг, эсвэл угтварын уртаар ялдаг хагас хүрээний угтварын хосыг бичдэг бөгөөд анхны анхдагч нь хүснэгтэд үлддэг. Сонгомол чиглүүлэлт нь нөгөө сонголт бөгөөд хэд хэдэн хэлбэрээр тохиолддог. Нэг профайл RDP сервер гэх мэт ганц хост чиглүүлдэг, нөгөө нь тодорхой газраас хүрэх ёстой нийтийн хүрээг чиглүүлдэг, гурав дахь нь нэг аппликейшныг санаатайгаар хасаж байна. Гурвуулаа хууль ёсны бөгөөд аль нь ч энгийн вэбсайтын хардаг хаягийг өөрчлөхгүй.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Шийдвэрлэх зааварт зориулж профайлыг, дараа нь юу үүсгэснийг мэдэхэд хүснэгтийг унш. Түлхэгдсэн зааврыг клиент дээр дарж ч болно, тиймээс серверийг буруутгахаас өмнө профайл ба хүснэгт нийцэх ёстой.

Эсрэг тал эх хаягийг дахин бичих ёстой

Хөтчөөс ижил харагддаг хоёр дахь гэмтэл бий. Зам туннель руу ордог, сервер пакетуудыг хүлээн аваад дараа нь клиентийн хувийн хаягийг хөндөхгүйгээр дамжуулдаг. Дараагийн алхамд тэр хаяг руу буцах зам байхгүй тул хариултууд алга болж, хуудсууд өлгөөтэй болдог. Сервер ядаж дамжуулах ёстой бөгөөд эх сурвалжийг интернет буцааж чиглүүлж чадах зүйл рүү хөрвүүлэх ёстой.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Интернэт рүү үнэхээр харсан интерфейсийг нэрлэ, орчин үеийн хуваарилалтад энэ нь үргэлж eth0 байдаггүй. Тогтмол хаягтай хостинг сервер нь masquerade-ийн оронд шууд тэр хаяг руу хөрвүүлж чадна. Хоёр хагас нь чухал, учир нь хөрвүүлэлтгүй дамжуулалт чиглүүлэх боломжгүй эх сурвалжийг алдаж, дамжуулалтгүй хөрвүүлэлт пакетыг хэзээ ч хардаггүй.

Нэрийн шийдэл өөрийн замаар явдаг

Нэрийг олсон шалгалт орон нутгийн сүлжээний шийдэгч рүү явсан байхад урсгал туннелээр гарч болно. Харагдах хаяг ижил хэвээр, шалгалтууд тийм биш, яг тэр зөрүүг хуваасан DNS-ийн загвар сонгодог.

resolvectl status | head -20
resolvectl query example.org

Аль сервер хариулсан, туннелийн өмнөх суурь шугамаас ялгаатай эсэхийг анхаар. Хуваасан туннельд энэ нь ихэвчлэн хүмүүс хаягийн талаар гомдоллохдоо өөрчлөхийг хүссэн тохиргоо бөгөөд тэд хэзээ ч хараагүй тохиргоо юм.

Асуудлыг шийдэх дөрвөн ажиглалт

Туннель унтарсан үед гарах хаягийг бүртгэ, дараа нь асаалттай үед. Хоёр төлөвт очих газрын шалгалтыг хийж, тус бүрд интерфейсийг тэмдэглэ.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Шалгалт туннелийн дотор бууж, тусгал нийлүүлэгчийн хаягийг хараахан харуулж байвал гарах хэсэгт хөрвүүлэлт дутуу байна. Шалгалт физик адаптер дээр буувал профайл сонгомол бөгөөд нийтийн хаяг хэзээ ч тоглоомд байгаагүй. Тусгалын үйлчилгээг итгэдэг үйлчилгээгээр сольж, дөрвөн ажиглалтыг хамт бич, учир нь тусдаа бол тэд анекдот. Хамтдаа тэд клиент хоёр ажлын алийг нь үнэхээр гүйцэтгэснийг харуулна.