Menghalakan klien OpenVPN melalui Cloudflare? Semak peranan dahulu
Klien peranti bukan penghala. Sahkan peranan Cloudflare memajukan paket hos lain, kemudian kekalkan terowong pelayan itu sendiri pada laluan lamanya.
Anda mempunyai pelayan OpenVPN yang berfungsi dan hos yang juga menjalankan perisian peranti Cloudflare, dan langkah seterusnya yang jelas kelihatan seperti menghalakan trafik klien ke arahnya. Dua sambungan yang berfungsi pada satu mesin tidak membentuk satu get laluan transit. Yang kurang ialah peranan yang didokumenkan untuk memajukan paket milik orang lain, dan dasar yang mengelaskan paket itu apabila ia tiba.
Sebelum mana-mana peraturan ada empat soalan: trafik apa yang masuk, ke mana ia pergi seterusnya, bagaimana jawapan menemui jalan pulang, dan apa yang dilakukan reka bentuk apabila laluan kedua itu gagal. Dua yang pertama ialah soalan keupayaan.
Dua perkhidmatan pada satu hos bukan laluan transit
Klien peranti dibina untuk mengendalikan trafik yang berasal dari mesin tempat ia berjalan. Ia memintas penyelesaian nama, atau trafik aplikasi terpilih, dan menghantarnya melalui terowongnya sendiri, dan dasarnya ditulis untuk pengguna peranti itu dan proses peranti itu. Paket yang dimajukan daripada klien OpenVPN bukan output tempatan, jadi peraturan yang sama tidak mengelaskannya. Itu bukan butiran konfigurasi yang boleh ditutup dengan peraturan yang lebih luas, kerana ia menentukan sama ada perisian itu melihat paket itu langsung.
Itulah sebabnya soalan reka bentuk ialah soalan keupayaan. Sama ada produk yang dipasang mempunyai peranan didokumenkan yang memajukan trafik untuk rangkaian lain, atau fungsi transit itu milik tempat lain sepenuhnya.
Peranan Cloudflare yang manakah dibenarkan memajukan
Klien peranti Cloudflare menawarkan mod yang berbeza dari segi skop: penyelesaian nama sahaja, trafik daripada peranti, dan kadangkala kedua-duanya. Tiada satu pun mod itu menjadikan hos sebagai penghala untuk julat peribadi yang tiba melalui terowong lain. Peranan penghalakan khusus ialah produk berasingan dengan penyambung, pendaftaran dan model rangkaiannya sendiri.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Semak peranan yang dipasang sebelum mereka bentuk laluan di sekelilingnya. Baca antara muka mana yang dicipta oleh penyambung, sama ada ia mengumumkan awalan tertentu atau laluan lalai, dan sama ada dasar tempatan terpakai kepada paket yang dimajukan serta paket tempatan. Jika hanya trafik tempatan dikendalikan, pelayan OpenVPN tidak boleh menjadi titik transit, tidak kira bagaimana peraturan terjemahan ditulis.
Di sinilah keperluan keluar awam juga mesti dinyatakan dengan tepat. Keluar yang disediakan oleh Cloudflare untuk trafik klien yang dimajukan ialah kes penggunaan tertentu, dan ia mesti disahkan terhadap perkhidmatan yang benar-benar anda miliki.
Kekalkan terowong luar bebas daripada laluan baru
Pada saat anda menambah laluan lalai ke arah antara muka baru, trafik keluar pelayan itu sendiri mula bersaing untuknya, dan itu termasuk balasan kepada klien OpenVPN dan sesi SSH anda ke mesin itu. Gejala biasa ialah terowong yang terbentuk dan kemudian mati, atau pentadbir yang terkunci di luar semasa perubahan itu kelihatan berjaya. Bandingkan ip route get untuk titik akhir sebelum dan selepas, dan gunakan penghalakan berasaskan dasar atau laluan hos untuk mengekalkan pengangkutan pelayan itu sendiri di tempatnya. Jalankan perbandingan itu dari mesin itu sendiri, kerana pandangan pelayan tentang laluannya sendiri ialah yang penting.
Pengecualian untuk alamat awam pelayan tidak mencukupi dengan sendirinya, kerana laluan balik setiap pentadbir jauh ialah aliran yang berbeza. Tentukan aliran mana yang mesti bertahan melalui perubahan, kemudian sahkan setiap satu daripada menganggap yang pertama merangkumi yang lain.
Hadkan pemajuan dan terjemahan kepada satu aliran
Paket yang diterima mengikut laluan pemajuan, bukan laluan output tempatan, jadi peraturan yang penting hidup dalam cangkuk forward. Di mana antara muka seterusnya memerlukan terjemahan, hadkan sumber kepada kumpulan klien, destinasi kepada yang dibenarkan dan keluar kepada antara muka tunggal itu. Peraturan masquerade yang terikat hanya pada antara muka tidak memilih laluan dengan sendirinya dan tidak membenarkan pemajuan melepasi mana-mana penapis lain.
Tentukan tingkah laku tutup semasa gagal terlebih dahulu, kemudian ujinya. Hentikan laluan seterusnya dan sahkan bahawa klien kehilangan keluar yang dimaksudkan dan bukannya diam-diam kembali ke pautan atas biasa, kerana itulah hasil yang tiada siapa perasan sehingga trafik keluar melalui pintu yang salah. Ulang semakan untuk penyelesaian nama dan untuk IPv6, kerana set peraturan hanya untuk v4 membiarkan laluan v6 terbuka.
Tuliskan empat jawapan yang anda tetapkan dan pemerhatian yang membuktikan setiap satu. Laluan transit yang boleh anda huraikan ialah laluan yang boleh anda pertahankan pada semakan insiden seterusnya.