Сессийн дунд пээрийн хаяг өөрчлөгдсөн: OpenVPN-ийн float юу хийдэг

Зөөврийн компьютер оффисын Wi-Fi-аас утасны хотспот руу шилждэг, туннель хэдхэн секунд илүү тогтоодог, дараа нь интерфэйс холбогдсон гэж мэдэгдсээр байтал трафик зогсдог. Сервер дээр төлөвийн жагсаалт хуучин нийтийн хаягийг хэвээр харуулдаг. Энэ бол float оршин байх шалтгаан болсон нөхцөл бөгөөд хүмүүс түүнээс хийж байгаагаас хамаагүй илүү зүйл хүлээдэг нөхцөл юм. Хилийг зөв ойлгох нь толгой эргэм зогсолтыг нэг мөртэй тохиргооны өөрчлөлт эсвэл огт өөр мөрдөн шалгалт болгон хувиргадаг.

float юуг сулладаг, юуг хэзээ ч суллуулдаггүй

Ихэвчлэн сесс эхэлсэн гадаад хаяг, порттойгоо үргэлжлүүлэн ярьдаг бөгөөд өөр хаанаас ч ирсэн пакетуудыг үл тоомсорлодог. float сонголт нь пээр өөрийгөө аль хэдийн нотолсны дараа тэр хатуу холбоог арилгадаг тул өөрчлөгдсөн эх сурвалжийн зураглал хасагдахын оронд мөн сессийг үргэлжлүүлж чадна. Криптограф шалгалтад юу ч өөрчлөгдөхгүй: түлхүүрүүд, гэрчилгээнүүд болон аливаа HMAC хамгаалалт тохируулсан хэвээрээ үлддэг.

Энэ нь пакет бүрийн шийдвэр бөгөөд хэн холбогдохыг зөвшөөрөх бодлого биш. Шинэ хаягаас пакет илгээсэн үл мэдэгдэх машин юу ч нотолоогүй бөгөөд түүний пакет бусад баталгаажаагүй трафикийн адил хасагдана. Сессийн өөрийн баталгаажуулалтыг давсан трафик л бүртгэгдсэн пээрийн хаягийг зөөж чадна, иймээс клиентүүд нүүдэллэдэг орчинд float-ыг асаалттай үлдээх нь аюулгүй.

Энэ нь дотоод туннелийн талаар ч юу ч хэлэхгүй. Зөөгдсөн гадаад хаяг туннелийн хаягийг дахин хуваарилдаггүй, санг өөрчилдөггүй бөгөөд пээрт шинэ зүйлд хандах эрх өгдөггүй. Туннелийн дотор нүүдлийн өмнө болон дараа ижил таних тэмдэг, ижил түлхэгдсэн маршрутууд үйлчилнэ. Нүүдэл нь өгөгдлийн сувгийг дахин хэлэлцэхгүй тул тохиролцсон шифр болон түлхүүрүүд үргэлжилнэ.

Сессийг зөөдөг пакет баталгаажих ёстой

Тохируулсан алслагдсан тал руу ердийн аргаар сесс эхлүүлээрэй, зураглал өөрчлөгдөхөд юу болохыг float шийднэ. Урсгалын дунд дугаарлалт сольдог гар утасны оператор, портын зураглалаа дахин бичдэг NAT гарц, эсвэл дээд холбоосоо сольдог зөөврийн компьютер бүгд ижил хэлбэрийг үүсгэдэг: шинэ кортежоос ирсэн баталгаажсан пакетууд хуучныг нь итгэсээр байгаа сесс рүү хүрдэг.

float ажиллаж байна уу гэж асуухад хэрэгтэй нотолгоо бол дууссан гар барилт ба түүний дараа хүлээн авсан эх сурвалжийн өөрчлөлт бөгөөд зөвхөн хаягийн тухай лог мөр биш. Хуучин болон шинэ гадаад хаягийг амьд үлдсэн сесстэй холбоод, дараа нь трафик үнэхээр туннелээр үргэлжилснийг баталгаажуулаарай.

Хэрэв сесс нүүхийн оронд үхвэл шинэ хаягаас ирсэн пакет баталгаажуулалтад тэнцээгүй эсвэл огт ирээгүй байх магадлалтай. Хоёр тохиолдол клиентийн талаас ижил харагдана. Сервер дээр нийтийн интерфэйс дээрх барилт нь аль нь болохыг ямар ч тохиргоог хөндөхөөс өмнө хэлнэ.

Илрүүлэлт нь огт тусдаа механизм

float нэрсийг таймераар шийддэггүй, динамик DNS бичлэг хянадаггүй. Серверийн хост нэр шинэ хаяг руу шийдэгдэж эхэлбэл, сул зогссон клиент үүнийг анзаарах шалтгаангүй бөгөөд шинэ төгсгөлийн цэгээс баталгаажуулах пакетгүй. Тэр асуудал дахин холбогдох логик, клиентийн өөрийн дахин оролдлогын зан төлөв, DNS-д хамаарах бөгөөд float-д хамаарахгүй.

Сонголтыг дахин нэг удаа нэмэх нь шинэ хаяг руу маршрут байхгүйг нөхөж чадахгүй. Пээр дуугүй байх үед ч туслахгүй, учир нь дуугүй пээр ямар нэг зүйлийг зөөх баталгаажсан пакетыг хэзээ ч илгээдэггүй.

Доод галт хана ч үг хэлнэ. Зөвхөн хуучин гадаад төгсгөлийн цэгийг зөвшөөрдөг дүрэм өөрчлөгдсөн хаягийг OpenVPN харахаас өмнө блоклодог бөгөөд клиентийн талын ямар ч тохиргоо үүнийг засахгүй. Зөвшөөрөгдсөн хаягуудын амьдралын мөчлөгийг тусдаа ажил болгон хянаарай; дүрмийг ямар ч эх сурвалж руу өргөтгөх нь жижиг асуудлыг том асуудалтай солих хэрэг.

Профайлыг NetworkManager эзэмших үед

Тушаалуудын мөрийн профайл болон импортолсон холболт нь тусдаа тохиргоо бөгөөд нэгийг засах нь нөгөөд хүрдэггүй. Сонголтыг дэмждэггүй гэж үзэхээс өмнө хадгалагдсан профайл яг ямар төрлийн залгаасыг ашигладаг, утгууд нь хаана байрладаг вэ гэдгийг тогтоогоорой. Профайлын UUID бол ямар нэг зүйлийг шалгах эсвэл өөрчлөх үед чухал танигч юм.

Анхны импортын файл биш, хадгалагдсан холболтыг шалгаарай. .ovpn файлд үлдсэн мөр идэвхтэй менежер түүнийг хэзээ ч хэрэглээгүй бол юу ч нотлохгүй, тодорхой сонголтын чекбоксгүй засварлагч ч протоколын чадварын талаар юу ч нотлохгүй.

Зан төлөвийг нэмэхийн тулд багцлагдсан залгаасыг нөхөж болохгүй, ялангуяа холбоогүй бүрэлдэхүүний түүхэн хувилбарт зориулж бичсэн diff-ээр биш. Хэрэв суулгасан интеграц энэ тохиргоог үнэхээр илэрхийлж чадахгүй бол зөв алхам нь дэмжигдсэн профайл эсвэл байршуулалтын эзэн баталсан өөр клиентийн зам юм.

Таамаглахын оронд шилжилтийг нотлоорой

Туршилтыг гэмтэл гардаг шиг нь хийгээрэй. Холбогдоод, туннелээр трафикийг шалгаад, гадаад хаягийг өөрчлөгдөхөд хүргээд, дараа нь гурван зүйлийг шалгаарай: сесс байсаар байна, бүртгэгдсэн пээрийн хаяг зөөгдсөн, бодит хүсэлт очих газраа хүрсээр байна. Энэ гурваас доогуур зүйл бол хэсэгчилсэн хариулт.

Туршиж байхдаа сэргээх хандалтыг бэлэн байлгаарай, учир нь нүүдлийн туршилтууд таны ажиллаж буй машиныг гацааж орхих зуршилтай. Цуваа консол эсвэл зурвасаас гадуурх маршрут нь бүтэлгүй туршилтыг газар дээр очихоос илүү таван минутын сэргээлт болгодог.

Эцэст нь, таны туршсан тохиолдлыг л дүрслээрэй. Сессийн үеэр хаяг амжилттай өөрчлөгдсөн нь DNS шилжилт, өөр клиентийн хэрэгжилт эсвэл дахин бүтээсэн профайл мөн адил ажиллана гэсэн нотолгоо биш. link-options баримт бичиг сонголтын хамрах хүрээг нарийн заадаг; таны туршилтын бүртгэл энэ хүрээний аль хэсгийг үнэхээр хамруулснаа бичих ёстой.