संपूर्ण टनल मार्ग ते वाहून नेणाऱ्या सर्व्हरला का तोडतो

संपूर्ण टनल सुरू करा आणि आता प्रत्येक गंतव्य VPN इंटरफेसचे आहे, ते संपवणारे यंत्रही. टनल वाहून नेणारे बाहेरील पॅकेट त्या यंत्राला पाठवले जातात, त्यामुळे मार्ग शेवटी ज्या वाहतुकीवर अवलंबून आहे तीच खातो. एक अतिरिक्त विशिष्ट मार्ग हे सोडवतो, आणि कारण समजून घेण्यासारखे आहे. ते कारण नसेल तर पुढील पुनर्बांधणी तीच खराबी पुन्हा आणते.

स्वतःची वाहतूक खाणारा मार्ग

एन्कॅप्स्युलेशन प्रत्येक पॅकेट दुसऱ्या हेडरमध्ये गुंडाळते. बाहेरील हेडर स्थानिक भौतिक पत्त्यापासून सर्व्हरच्या सार्वजनिक पत्त्यापर्यंत पाठवले जाते, आणि कोणतीही टनल अस्तित्वात येण्यापूर्वी त्याला भौतिक दुवा ओलांडावा लागतो.

आता त्या सार्वजनिक पत्त्याच्या शोधाला टनल निवडू द्या. पॅकेट पाठवण्यासाठी यंत्राला ते एन्कॅप्स्युलेट करावे लागते, ज्यासाठी त्याच पत्त्यापर्यंत मार्ग हवा, आणि तो मार्ग टनल परत देतो. क्लायंट हे दोन पैकी एका प्रकारे हाताळतात. सावध क्लायंट डीफॉल्ट मार्ग बसवण्यास नकार देतो आणि त्रुटी नोंदवतो, तर कमी सावध क्लायंट यश नोंदवतो आणि मग काहीही हलवत नाही. शांत अपयश हेच एक दुपार खाते.

सर्वात लांब प्रीफिक्सची जुळणी कोणत्याही मेट्रिककडे पाहण्यापूर्वी शोध ठरवते, त्यामुळे एका पत्त्याचा मार्ग यंत्रावरील प्रत्येक डीफॉल्ट मार्गापेक्षा पुढे जातो. दुरुस्तीमागील संपूर्ण यंत्रणा एवढीच आहे.

डीफॉल्टपूर्वी अपवाद बसवा

सर्व्हरसाठी एका पत्त्याचा मार्ग तयार करा, भौतिक गेटवे पुढील हॉप म्हणून ठेवून, डीफॉल्ट मार्ग सरकण्यापूर्वी. क्रम महत्त्वाचा: नंतर बसवणे म्हणजे टाइप करताना तुटलेल्या टनलसोबत जगणे.

बहुतेक क्लायंट हे न विचारता करतात. OpenVPN दूरचा पत्ता शोधते आणि डीफॉल्ट गेटवे पुन्हा लिहिण्यापूर्वी तो पिन करते, आणि त्याचा route-delay पर्याय अशा प्लॅटफॉर्मसाठी आहे जिथे हा क्रम शर्यतीत असतो. wg-quick पूर्णपणे वेगळा मार्ग घेतो, पॅकेटवर खूण करून धोरण नियमाचा सल्ला घेऊन अपवाद जोडण्याऐवजी. वेगवेगळी यंत्रणा, एकच गरज: बाहेरील पॅकेटने स्वतः तयार करणाऱ्या टनलमधून सुटले पाहिजे.

ip route add 203.0.113.10/32 via 192.168.1.1 dev eth0
ip route get 203.0.113.10

शोधाचे आउटपुट ही स्वीकृती चाचणी आहे. त्यात भौतिक उपकरण आणि भौतिक पुढील हॉपचे नाव असले पाहिजे. त्या उत्तरात टनल उपकरण दिसणे म्हणजे अपवाद गहाळ आहे, किंवा त्याला मागे टाकणाऱ्या एखाद्या गोष्टीनंतर ठेवला आहे.

सर्व्हरवरील आरशातील प्रतिमा

तीच सापळा दुसऱ्या बाजूला उलटा वाट पाहतो. सर्व्हरला दुसऱ्या टनलमधून डीफॉल्ट मार्ग द्या, किंवा क्लायंटचे सार्वजनिक पत्ते झाकणारा मार्ग त्याच्याकडे ढकला, आणि त्याची उत्तरे चुकीच्या दिशेची सवय लागतील.

जोडला जाऊन विनंती पाठवणाऱ्या क्लायंटची कल्पना करा. उत्तर त्या क्लायंटच्या सार्वजनिक पत्त्याला पाठवले जाते, जे आता टनल मार्गाशी जुळते, त्यामुळे ते दुसऱ्या इंटरफेसवरून निघते आणि क्लायंटने कधीही डायल न केलेला स्रोत घेऊन जाते. क्लायंट ते पॅकेट घेऊनही टाकून देऊ शकतो, कारण त्याने पाठवलेल्या विनंतीशी काहीही त्याला जोडत नाही. क्लायंटच्या कालमर्यादेऐवजी सर्व्हरच्या राउटिंग निर्णयापासून सुरुवात करा, कारण दोघांपैकी फक्त एकच खरी निवड दाखवतो.

ip route get 198.51.100.44 from 10.90.0.1
ip rule show
sudo tcpdump -ni any host 198.51.100.44

तीन दुरुस्त्या आहेत आणि त्या समान नाहीत. सेवा भौतिक पत्त्याला पिन करणे, किंवा स्रोताचे भाषांतर करणे, दोन्ही राउटिंग निर्णय सुधारण्याऐवजी लपवतात. टनल पूलसाठी उत्तर वाहतूक समर्पित तक्त्यातून पाठवणे कारण सुधारते, आणि उर्वरित दोन राउटिंग रचना गोठवलेली असेपर्यंतच स्वीकारार्ह आहेत.

टनल सतत चोरत असलेले अपवाद

काही कामांना टनलकडे डीफॉल्ट मार्ग असतानाही खुल्या इंटरनेटची गरज असते, आणि प्रत्येकाला स्वतःचा अपवाद हवा. डायनॅमिक DNS अपडेटर सहसा पहिला तुटतो.

ते प्रदात्याचे निराकरण करते, कनेक्शन उघडते आणि त्याचे स्वतःचे पॅकेट काही सेकंदांपूर्वी पत्ता बदललेल्या टनलमधून जात असल्याचे दिसते, त्यामुळे अपडेट अयशस्वी होते किंवा चुकीचा पत्ता प्रकाशित करते. तीन मार्ग: भौतिक गेटवेमधून होस्ट मार्गाने प्रदाता पिन करा, टनल उभे राहण्यापूर्वी अपडेट चालवा, किंवा अपडेटरला टनल कधीही न स्पर्श करणारा धोरण तक्ता द्या. जे उपकरण रिझॉल्व्हरशिवाय बूट होते तिथे वेळेच्या सिंक्रोनाइझेशनलाही तोच धोका असतो, आणि प्रमाणपत्र पडताळणीचे टोक त्याच कारणाने यादीत आहेत.

कोणीही न लिहिलेला अपवाद हा असा अपवाद आहे जो पुढील पुनर्बांधणी शांतपणे टाकून देईल.

पुन्हा जोडल्यानंतर हे सिद्ध करा, आधी नाही

एक नाही तर तीन गंतव्ये तपासा: टोकाचा बिंदू, टनलच्या मागील खासगी पत्ता आणि त्यापलीकडील सार्वजनिक पत्ता. एक यशस्वी शोध उर्वरित दोनांबद्दल जवळपास काहीही सांगत नाही.

ip route get 203.0.113.10
traceroute -n 203.0.113.10
ip route get 10.90.0.5
ip route get 1.1.1.1

मग कनेक्शन पुन्हा सुरू करा, कारण पुन्हा जोडताना आपला तक्ता पुन्हा बांधणारा क्लायंट तुम्ही हाताने टाइप केलेला मार्ग टाकून देईल. kill switch सुरू असेल तर टोकाचा बिंदू परवानगीत आहे का तपासा, नाहीतर नेटवर्क बदलल्यानंतर टनल परत येऊ शकत नाही आणि लक्षणे खंडासारखी दिसतील. अपवाद shell इतिहासात नाही, प्रोफाइल किंवा unit फाइलमध्ये साठवा, जेणेकरून पुन्हा जोडणी तो पुसण्याऐवजी पुन्हा तयार करेल.