Хоёр гарц, нэг VPN: OpenVPN яагаад буруу дээш холбоосыг сонгодог вэ

Хоёр дээш холбоос, нэг туннель, трафик таны сонгоогүй холбоосоор гарч байна. Хувийн дэд сүлжээнүүд хүртээмжтэй, лог амжилттай холболтыг мэдээлж байна, хэмжсэн холбоос л түүнийг зөөж байна. OpenVPN-ийн гаралтад гарцын талаар юу ч дурдагдаагүй, учир нь клиент хэзээ ч нэгийг сонгоогүй. Тэрээр алсын хаяг руу сокет нээж, тухайн хаягт хэрхэн хүрэхийг цөмд шийдүүлсэн.

Туннелийн хаяг бол төгсгөлийн цэг биш

Сесс бүрт хоёр өөр зам байдаг. Гадна зам шифрлэгдсэн тээврийг серверийн нийтийн хаяг руу зөөдөг. Дотоод зам сервер туннель руу түлхэж буй бүхнийг зөөдөг, нэгийн маршрутын дүрэм нөгөөд нөлөөлөхгүй.

Профайл дахь remote бичлэг гадна чиглэлийг нэрлэдэг тул тэр хаягыг бэхлэх ёстой. Хост-нэр өөрөөр шийдэгдэх эсвэл профайл хэд хэдэн remote жагсаах үед өөрчлөгддөг утга ч мөн адил.

Клиент үнэхээр залгасан хаягийг олоорой

Тохиргооны файл биш, амьд сокетыг уншина уу. Сокетын хүснэгт процесс үнэхээр холбогдсон хамтрагчийг харуулдаг ба үл хамаарах зүйл тэр утгатай тохирох ёстой. Сесс эхэлсний дараа ч профайлыг засварлаж болох бөгөөд юунд залгасны цорын ганц нотолгоо нь сокет юм:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Логийн мөр холболтын үеийн хамтрагчийн хаяг, портыг нэрлэнэ. Хэрэв профайлтай тохирохгүй бол клиентийн өмнө ямар нэг зүйл холболт эхлэхээс өмнө чиглэлийг дахин бичиж байна.

Хаягийн гэр бүлийг ч шалгана уу. Хос стект профайл IPv6-оор холбогдож болох бол таны үл хамаарах зүйл зөвхөн IPv4-ийг хамардаг, тэгвэл трафик таны бичсэн дүрмээс өөр дүрмийг дагана. Төгсгөлийн цэгийн өмнөөс хариулдаг проксид ч мөн адил. Хоёр тохиолдолд таны маршрут юу ч хийхгүй байхад ажилладаг туннель үүсдэг.

Төгсгөлийн цэгийг бэхлээд бодлогын дарааллыг уншина уу

Хост-маршрут нь ямар ч өгөгдмөл маршрутаас илүү тодорхой. Тиймээс хамтрагчийн хаягийн /32 нь түүнийг агуулсан хүснэгтэд ялдаг. Ердийн хэлбэр нь гарц, төхөөрөмжийг тодорхой нэрлэдэг:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Тэр маршрут зөвхөн хайлт тэр хүснэгтэд хүрсэн үед тусална. Бодлогын дүрмүүд дарааллаар үнэлэгдэж, эхний тохирол шийддэг тул бүхнийг хоёр дахь хүснэгт рүү илгээдэг дүрэм main дахь хост-маршрутыг тойрч гардаг. Маршрутыг эрх мэдэлтэй гэж үзэхээс өмнө дүрмүүдийг уншина уу:

ip rule show
ip route get 203.0.113.40

Хоёр дахь командыг клиентийн хэрэглэдэг ижил эх хаяг эсвэл тэмдэглэгээгээр асууна уу, бодлого тэднээс хамааралтай үед. Энэ нь цөмийн сонгох маршрутыг мэдээлдэг бөгөөд энэ нь хайлтын тухай нотолгоо, амьд сокет тэр замыг ашиглаж байгаагийн нотолгоо биш.

Төгсгөлийн цэг шилжих үед

Хэд хэдэн хаяг руу шийдэгддэг хост-нэр хариулт өөрчлөгдөнгүүт байнгын /32-ыг хүчингүй болгодог. Хэд хэдэн remote мөртэй профайлд ч ижил асуудал бий, учир нь клиент аль нэгэн дээр нь бууж болно. Маршрутыг гараар нэмэхийн оронд клиентийн өөрийн амьдралын мөчлөгийн дэгээнүүдээс шинэчилнэ үү. up скрипт тохиролцсон хамтрагчийг уншаад хост-маршрутыг суулгадаг, үл хамаарах зүйлийг бодит байдалтай нийцүүлж байдаг бол тохирох down скрипт түүнийг устгадаг.

Шинэчлэлтийг хост-ын бусад маршрутын тохиргоотой ижил газарт бүртгэнэ үү. Дараагийн дахин ачаалт хүртэл л оршин байдаг маршрут бол шалгалт, засвар биш.

Дотоод бодлогыг тусад нь барина уу

Гадна замыг зөөх нь шинэ хувийн дэд сүлжээнд нэвтрэх эрх өгөхгүй бөгөөд серверийн туннель руу ямар чиглэлүүдийг түлхэхийг өөрчлөхгүй. Доод түвшний маршрут утсыг сонгодог; түлхэгдсэн маршрутууд туннель руу юу орохыг сонгодог. Энэ хоёр шийдвэрийг тусад нь байлгах нь хуваалтыг урьдчилан таамаглах боломжтой болгодог.

Зорилго нь зөвхөн шифрлэгдсэн тээврийг хэмжсэн холбоосоос хол байлгах бол өгөгдмөл маршрутад хүрэхгүй, ганц хост-ын үл хамаарах зүйлийг нэмнэ үү. Нэг VPN холболтыг зөөхийн тулд бүх машины өгөгдмөл маршрутыг солих нь хост дээрх бусад бүх програмыг эвддэг.

Үр дүнг хоёр бие даасан ажиглалтаар баталгаажуулна уу: сокетын локал хаяг ба төхөөрөмж, мөн хувийн чиглэл шийдэгддэг маршрут. Хоёулаа таны зорилготой нийцвэл хуваалт нь бодит. OpenVPN 2.6 гарын авлага нь клиент ямар хаяг руу залгахыг тодорхойлдог remote болон локал холболтын сонголтуудыг хамардаг.