OpenVPN клиентүүдийг Cloudflare-ээр чиглүүлэх үү? Эхлээд үүргийг шалгаарай
Төхөөрөмжийн клиент нь чиглүүлэгч биш. Cloudflare-ийн үүрэг бусад хостын пакетыг дамжуулдаг эсэхийг баталгаажуулж, серверийн өөрийнх нь туннелийг хуучин замаар нь үлдээгээрэй.
Танд ажиллаж буй OpenVPN сервер болон Cloudflare-ийн төхөөрөмжийн программыг мөн ажиллуулдаг хост байна, дараагийн тодорхой алхам нь клиентийн урсгалыг тийш нь чиглүүлэх мэт харагдаж байна. Нэг машин дээрх хоёр ажиллаж буй холболт нийлээд дамжуулалтын гарц болохгүй. Дутагдаж буй зүйл бол өөр хүнд хамаарах пакетыг дамжуулахаар баримтжуулсан үүрэг, мөн тэр пакетууд ирэх үед ангилах бодлого юм.
Аливаа дүрмээс өмнө дөрвөн асуулт байдаг: ямар урсгал орж байна, дараа нь хаашаа явна, хариултууд буцах замаа хэрхэн олдог, тэр хоёр дахь зам бүтэлгүйтэх үед загвар нь юу хийдэг. Эхний хоёр нь чадварын асуулт.
Нэг хост дээрх хоёр үйлчилгээ нь дамжуулалтын зам биш
Төхөөрөмжийн клиент нь өөрөө ажиллаж буй машин дээр үүсэх урсгалыг зохицуулахаар бүтээгдсэн. Тэр нэрийн шийдвэрлэлт эсвэл сонгосон програмын урсгалыг бариад өөрийнхөө туннелээр илгээдэг, түүний бодлого нь тухайн төхөөрөмжийн хэрэглэгч болон тухайн төхөөрөмжийн процессуудад зориулагдсан. OpenVPN клиентээс дамжуулсан пакет нь локал гаралт биш тул ижил дүрмүүд түүнийг ангилахгүй. Энэ нь илүү өргөн дүрмээр далдлах боломжтой тохиргооны нарийн ширийн зүйл биш, учир нь программ пакетыг огт харж байгаа эсэхийг энэ шийднэ.
Тиймээс загварын асуулт нь чадварын асуулт. Эсвэл суулгасан бүтээгдэхүүнд бусад сүлжээний урсгалыг дамжуулдаг баримтжуулсан үүрэг байна, эсвэл дамжуулалтын үүрэг огт өөр газар хамаарна.
Cloudflare-ийн аль үүрэг дамжуулах эрхтэй
Cloudflare-ийн төхөөрөмжийн клиент хамрах хүрээгээрээ ялгаатай горимуудыг санал болгодог: зөвхөн нэрийн шийдвэрлэлт, төхөөрөмжөөс гарах урсгал, заримдаа хоёулаа. Эдгээр горимуудын аль нь ч хостыг өөр туннелээр ирж буй хувийн мужид зориулсан чиглүүлэгч болгодоггүй. Тусгай чиглүүлэлтийн үүрэг нь өөрийн коннектор, бүртгэл, сүлжээний загвартай тусдаа бүтээгдэхүүн юм.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Түүний эргэн тойронд маршрут зохион бүтээхээс өмнө суулгасан үүргийг шалгаарай. Коннектор ямар интерфэйс үүсгэдэг, тодорхой префикс эсвэл өгөгдмөл маршрут зарладаг эсэх, локал бодлого нь локал пакетуудад төдийгүй дамжуулсан пакетуудад ч хамаарах эсэхийг уншаарай. Зөвхөн локал урсгал зохицуулагддаг бол орчуулгын дүрэм хэрхэн бичигдсэнээс үл хамааран OpenVPN сервер дамжуулалтын цэг болж чадахгүй.
Энд нийтийн гарцын шаардлагыг бас нарийн томъёолох ёстой. Дамжуулсан клиентийн урсгалд Cloudflare-ийн өгдөг гарц нь тодорхой хэрэглээний тохиолдол бөгөөд таны бодитоор байгаа үйлчилгээтэй харьцуулан баталгаажуулах шаардлагатай.
Гадаад туннелийг шинэ маршрутаас хараат бус байлгаарай
Шинэ интерфэйс рүү өгөгдмөл маршрут нэмсэн тэр мөчид серверийн өөрийнх нь гадагш урсгал түүний төлөө өрсөлдөж эхэлдэг, үүнд OpenVPN клиентүүдэд өгөх хариулт болон машин руу хийх SSH сесс ч багтана. Ердийн шинж тэмдэг нь тогтоогдсоны дараа үхдэг туннель, эсвэл өөрчлөлт ажилласан мэт харагдах үед гадаа түгжигдэх администратор. Төгсгөлийн цэгийн хувьд ip route get-ийг өмнө болон дараа нь харьцуулж, серверийн өөрийнх нь тээврийг урьд байсан газарт нь байлгахын тулд бодлогод суурилсан чиглүүлэлт эсвэл хостын маршрут ашиглаарай. Тэр харьцуулалтыг машинаас нь хийгээрэй, учир нь серверийн өөрийнх нь маршрутын талаарх үзэл бодол л чухал.
Серверийн нийтийн хаягийн үл хамаарах зүйл өөрөө хангалтгүй, учир нь алслагдсан администратор бүрийн буцах зам нь өөр урсгал. Тэдгээр урсгалуудын аль нь өөрчлөлтийг давах ёстойг шийдэж, дараа нь эхнийх нь үлдсэнийг хамарна гэж таамаглахын оронд тус бүрийг шалгаарай.
Дамжуулалт болон орчуулгыг нэг урсгалаар хязгаарлаарай
Хүлээн авсан пакетууд нь локал гаралтын замаар биш, дамжуулалтын замаар явдаг тул чухал дүрэм forward дэгээнд амьдардаг. Дараагийн интерфэйст орчуулга хэрэгтэй бол эх сурвалжийг клиентийн сангаар, очих газрыг зөвшөөрөгдсөнөөр, гарцыг тэр нэг интерфэйсээр хязгаарлаарай. Зөвхөн интерфэйстэй холбогдсон masquerade дүрэм өөрөө ямар ч маршрут сонгохгүй бөгөөд өөр ямар ч шүүлтүүрийг даван дамжуулахыг зөвшөөрөхгүй.
Бүтэлгүйтэх үед хаагдах зан төлөвийг урьдчилан шийдэж, дараа нь туршиж үзээрэй. Дараагийн замыг зогсоож, клиентүүд ердийн дээд холболт руу чимээгүй буцахын оронд зорьсон гарцаа алдаж байгааг баталгаажуулаарай, учир нь урсгал буруу хаалгаар гарч эхлэх хүртэл хэн ч анзаардаггүй үр дүн нь энэ. Нэрийн шийдвэрлэлт болон IPv6-ийн хувьд шалгалтыг давтаарай, учир нь зөвхөн v4-д зориулсан дүрмийн багц v6 замыг нээлттэй үлдээдэг.
Таны зогссон дөрвөн хариулт болон тус бүрийг нотлох ажиглалтыг бичиж үлдээгээрэй. Та тайлбарлаж чадах дамжуулалтын зам бол дараагийн ослын хяналтад хамгаалж чадах зам юм.