Siapa yang patut memiliki laluan dan DNS apabila openfortivpn bersambung?

Empat peringkat bertindan antara satu sama lain dalam sesi openfortivpn yang berfungsi. Klien mengesahkan diri di gateway dan memulakan sambungan TLS, kemudian menjalankan PPP di dalam sambungan itu, kemudian menerima alamat dan maklumat DNS, dan akhirnya menggunakan laluan hos serta tetapan penyelesai. Setiap peringkat boleh hidup sedangkan peringkat seterusnya tidak, dan itulah sebabnya “bersambung” ialah perkataan yang begitu licin dalam urutan sokongan.

Keputusan yang menghapuskan sebahagian besar kekeliruan ialah siapa yang memiliki peringkat terakhir. Sama ada klien VPN menggunakan perubahan hos itu sendiri, atau komponen lain yang melakukannya, dan mencampurkan kedua-duanya separuh jalan ialah cara laluan dan fail penyelesai akhirnya menerangkan sesi yang berbeza.

Empat peringkat yang kelihatan seperti satu sambungan

Peringkat pertama ialah kemasukan. domain pengesahan bernama atau kod sekali guna, dan menerima parameter yang diperlukan untuk meneruskan. Apabila klien mencetak bahawa ia bersambung ke gateway, itu bermakna pengangkutan TLS hidup. Itu tidak bermakna PPP telah berunding, dan sudah tentu tidak bermakna aplikasi dalaman boleh dicapai.

Peringkat kedua ialah pautan PPP. Klien memulakan proses PPP terhadap peranti terowong, dan kedua-dua pihak berunding pilihan pautan dan alamat. Hanya selepas itu hos mengetahui alamat tempatan dan jauh yang digunakan sesi, dan hanya ketika itulah laluan menuju terowong masuk akal.

Peringkat ketiga ialah menggunakan maklumat itu pada hos, dan di sinilah pemilikan penting. Klien boleh menambah laluan dan menulis semula konfigurasi penyelesai, atau ia boleh diarahkan berundur dan meninggalkan kedua-duanya kepada apa sahaja yang menguruskan rangkaian pada mesin itu. README projek menerangkan perkara ini sebagai tanggungjawab berasingan dan bukannya satu tingkah laku automatik.

Siapa yang mengedit jadual penghalaan

Secara lalai klien ialah pemiliknya. Ia menambah laluan ke arah gateway melalui antara muka fizikal, laluan untuk rakan terowong dan laluan untuk rangkaian yang dibenarkan digunakan oleh sesi, kemudian membuangnya apabila proses keluar. Lalai itu sesuai pada komputer riba dengan satu pengurus rangkaian dan tiada perisian VPN lain.

Pilih penyerahan hanya apabila sesuatu yang lain benar-benar memiliki penghalaan. Integrasi pengurus rangkaian, ruang nama rangkaian kontena atau ejen penghalaan seluruh tapak mungkin sudah tahu cara memasang dan membersihkan awalan yang sama. Menghantar pilihan no-routes kemudian menghalang dua penulis daripada bertanding untuk jadual yang sama, iaitu perlumbaan yang muncul sebagai kehilangan satu subrangkaian secara berselang-seli dan bukannya kegagalan bersih.

Pertindihan ialah sebab kedua untuk menyerahkan. Jika laluan yang ditolak termasuk awalan yang sudah digunakan oleh rangkaian tempatan, klien tidak boleh menyelesaikan konflik itu untuk anda. Seseorang mesti memutuskan sama ada awalan itu boleh dicapai melalui terowong, melalui pautan fizikal atau melalui laluan yang lebih khusus, dan keputusan itu milik sesiapa yang memiliki topologi.

Pembersihan ialah yang ketiga. Klien yang ranap sebelum membuang laluannya meninggalkan lubang hitam yang hidup lebih lama daripada sesi, dan sambungan seterusnya boleh menambah pendua di atasnya. Sesiapa yang memiliki penghalaan juga memiliki pengesahan bahawa entri lama telah hilang. Jadikan pemeriksaan itu sebahagian daripada laluan permulaan, bukan langkah pembersihan pilihan.

Siapa yang memiliki DNS dan fail penyelesai

DNS ialah keputusan yang sama dengan tepi yang lebih tajam. Klien boleh menerima pelayan DNS yang dilaporkan oleh gateway atau rakan PPP dan menulisnya ke dalam konfigurasi penyelesai hos. Pada mesin mudah itulah yang anda mahu, kerana nama dalaman kemudian hanya diselesaikan selagi terowong hidup.

Pada hos Linux moden penyelesai mungkin diuruskan oleh stub tempatan, dan menulis semula fail penyelesai di belakang stub itu menghasilkan konfigurasi yang kelihatan betul dan berkelakuan tidak konsisten. Jika hos sudah menjalankan pengurus penyelesai, biarkan ia memiliki DNS dan beri ia pelayan terowong melalui antara muka yang disokongnya. Pilihan no-dns klien ialah pilihan yang betul di situ, bukan jalan pintas.

DNS berpecah ialah soalan berasingan daripada siapa yang menulis fail. Menghantar setiap pertanyaan melalui terowong adalah mudah dan perlahan; menghantar hanya zon dalaman melaluinya memerlukan konfigurasi setiap domain yang tidak ditawarkan oleh kebanyakan klien mudah. Tentukan tingkah laku yang diperlukan hos sebelum mendayakan perubahan penyelesai klien. Pilihan yang salah di sini kelihatan seperti gangguan penyelesaian nama walaupun terowong itu sendiri baik.

Keistimewaan, kesediaan dan penyerahan

Mencipta peranti terowong dan mengedit laluan hos atau keadaan penyelesai memerlukan kuasa rangkaian yang dinaikkan. Kesilapan biasa ialah menyimpulkan bahawa oleh itu semuanya mesti berjalan sebagai root, termasuk pelayar atau aplikasi yang menggunakan terowong. Kekalkan bahagian istimewa itu kecil: klien dan fail konfigurasinya, dimiliki oleh pentadbir, manakala aplikasi pengguna mengekalkan akaun biasa mereka.

Kesediaan harus ditakrifkan bagi setiap pengguna. Penyelia boleh menganggap perkhidmatan bermula apabila proses klien berjalan dan peranti terowong wujud. Tugas sandaran harus menganggap VPN boleh digunakan hanya apabila titik akhir storannya menjawab melalui terowong. Itu pemeriksaan yang berbeza, dan menggunakan yang lebih lemah untuk tujuan yang lebih kuat menghasilkan tugas yang bermula terlalu awal dan gagal secara berselang-seli. Tuliskan definisi yang dipilih, kerana penyelia dan tugas yang tidak bersetuju tentang kesediaan ialah tiket sokongan yang menunggu untuk berlaku.

Uji kontrak dengan empat pemerhatian: fasa gateway selesai, PPP memberikan alamat, laluan yang dimaksudkan hadir dan permintaan ke hos dalaman berjaya. Kemudian hentikan klien dan pastikan setiap satu daripadanya dibuang atau dipulihkan. Jika hos masih menyelesaikan nama dalaman atau masih memegang laluan selepas terowong ditutup, penyerahan pemilikan belum lengkap.