Ikon hijau, IP awam sama: laluan mana yang VPN langkau

Bersambung, ikon dulang hijau, dan halaman pantulan alamat yang masih memaparkan alamat penyedia tidak bermakna kerosakan secara automatik. Klien melakukan dua tugas berasingan: ia membina terowong, dan ia menyunting jadual penghalaan. Salah satu boleh berlaku tanpa yang lain, dan penghalaan terpilih ialah konfigurasi yang kedua dilepaskan dengan sengaja.

Apa yang sebenarnya dipasang oleh klien

Tanya antara muka mana yang akan membawa paket ke destinasi sebenar dan bukan bertanya sama ada terowong itu naik. Terowong tanpa laluan ke destinasi itu ialah jalan persendirian yang tidak dilalui sesiapa.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Perintah pertama menjawab pada Linux dan macOS, dan dua lagi ialah persamaan Windows yang mana satu sudah cukup. Jika jawapan menamakan penyesuai fizikal, terowong naik dan laluan lalai tidak pernah bergerak. Ulang semakan untuk destinasi yang sepatutnya menggunakan terowong, kerana dua semakan, satu jauh dan satu biasa, memberitahu reka bentuk mana yang digunakan.

Tiga bentuk penghalaan terpilih

Profil terowong penuh biasanya menulis laluan lalai menuju antara muka, atau menulis pasangan awalan separuh julat yang menang pada panjang awalan sementara laluan lalai asal kekal dalam jadual. Penghalaan terpilih ialah pilihan lain, dan ia datang dalam beberapa bentuk. Satu profil menghalakan satu hos seperti pelayan RDP, satu lagi menghalakan julat awam yang perlu dicapai dari lokasi tertentu, dan yang ketiga mengecualikan satu aplikasi dengan sengaja. Ketiga-tiganya sah, dan tiada satu pun mengubah alamat yang dilihat oleh laman web biasa.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Baca profil untuk arahan yang menentukan, kemudian jadual untuk apa yang dihasilkannya. Arahan yang ditolak juga boleh ditekan pada klien, sebab itu profil dan jadual mesti sepadan sebelum anda menyalahkan pelayan.

Sisi jauh mesti menulis semula alamat sumber

Ada kegagalan kedua yang kelihatan sama dari pelayar. Laluan menuju ke dalam terowong, pelayan menerima paket, dan kemudian memajukannya dengan alamat peribadi klien tidak berubah. Hop seterusnya tiada jalan balik untuk alamat itu, jadi balasan lenyap dan halaman tergantung. Pelayan mesti memajukan langsung, dan ia mesti menterjemah sumber menjadi sesuatu yang boleh dihalakan semula oleh internet.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Namakan antara muka yang benar-benar menghadap internet, yang pada edaran moden bukan selalu eth0. Pelayan dihoskan dengan alamat tetap boleh menterjemah secara jelas ke alamat itu dan bukan menggunakan masquerade. Kedua-dua separuh penting, kerana pemajuan tanpa terjemahan membocorkan sumber yang tidak boleh dihalakan, manakala terjemahan tanpa pemajuan tidak pernah melihat paket itu.

Peleraian nama mengambil laluannya sendiri

Trafik boleh keluar melalui terowong sementara semakan yang menemui nama pergi ke penyelesai pada rangkaian tempatan. Alamat yang kelihatan kekal sama, semakannya tidak, dan jurang itulah yang dipilih oleh reka bentuk DNS berpecah.

resolvectl status | head -20
resolvectl query example.org

Perhatikan pelayan mana yang menjawab dan sama ada ia berbeza daripada garis dasar sebelum terowong. Pada terowong berpecah ini biasanya tetapan yang orang mahu ubah apabila mereka mengadu tentang alamat, dan itulah yang mereka tidak pernah lihat.

Empat pemerhatian yang menyelesaikannya

Rakam alamat keluar dengan terowong turun, kemudian dengan terowong naik. Jalankan semakan destinasi dalam kedua-dua keadaan dan catat antara muka setiap kali.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Apabila semakan mendarat di dalam terowong dan pantulan masih memaparkan alamat penyedia, terjemahan di pintu keluar tiada. Apabila semakan mendarat pada penyesuai fizikal, profil itu terpilih dan alamat awam tidak pernah dalam skop. Gantikan perkhidmatan pantulan dengan yang anda percaya dan catat keempat-empat pemerhatian bersama-sama, kerana secara berasingan ia anekdot. Bersama-sama ia mengenal pasti tugas mana antara dua itu yang benar-benar dilakukan oleh klien.