App marbuta mal-indirizz tal-VPN xorta tuża r-rotta żbaljata

Socket marbuta mal-indirizz tal-VPN issegwi r-rotta default tas-soltu. Iċċekkja s-sjieda tal-indirizz u t-tiftixa konxja tas-sors qabel ma żżid regoli tal-politika.

Applikazzjoni torbot mal-indirizz tal-VPN, u l-konnessjoni xorta toħroġ mir-rotta default tas-soltu. Xejn ma falla fil-bind; għamel eżattament dak li jagħmel bind. Li torbot socket ma’ indirizz lokali jagħżel l-indirizz tas-sors li l-qalba tpoġġi fl-intestatura. Ma jinstallax rotta, u ma joħloqx regola tal-politika li tibgħat pakketti li jġorru dak is-sors f’mina partikolari.

Il-bqija ta’ dan il-manwal huwa l-ordni tal-verifika li nuża, flimkien mal-kmand li jipproduċi kull osservazzjoni.

X’jiddeċiedi tassew bind

Bind jassenja indirizz lokali lis-socket. Imbagħad il-qalba tmexxi l-istess tiftixa tar-rotta li kienet tmexxi mod ieħor, sakemm regola tal-politika ma tibdilx liema tabella taqra dik it-tiftixa.

Għalhekk pakkett jista’ joħroġ b’indirizz tas-sors tal-VPN fuq interface fiżika. Fuq in-naħa l-oħra jasel minn firxa privata li n-netwerk qatt ma stenna f’dik it-triq, it-traffiku tar-ritorn m’għandux rotta lura, u l-konnessjoni tiddendel jew tiġi rrisettjata.

Ir-referenza tas-sockets IP ta’ Linux tiddokumenta s-semantika tal-bind. In-nofs tar-routing jgħix f’ip-rule u ip-route, u dawk huma manwali separati għal raġuni.

Ikkonferma li l-indirizz jappartjeni għal dan in-namespace

Indirizz li tista’ torbot miegħu jrid jeżisti fuq interface ġewwa n-namespace tan-netwerk fejn taħdem l-app. Indirizz ta’ sieħeb, indirizz ta’ gateway, jew indirizz li jeżisti biss fi namespace ieħor ma jistax jiġi marbut, u s-sejħa tfalli b’EADDRNOTAVAIL.

ip -br addr show
ip netns identify <pid>
ss -tanp | grep <port>

Mexxi dawk it-tlieta fl-istess kuntest bħall-app: l-istess namespace, u l-istess utent jekk tista’ tikseb. Diagramma net30 qadima mhix prova ta’ liema indirizz it-topoloġija attwali tiegħek tat lill-klijent. Aqra l-interface li hi tassew attiva.

Aqra t-tiftixa għal dak is-sors u destinazzjoni

Kmand wieħed iwieġeb il-mistoqsija li bind ma wieġibx:

ip route get 203.0.113.10 from 10.8.0.2
ip rule show

L-ewwel linja tipprintja r-rotta li pakkett minn dak is-sors għal dik id-destinazzjoni jieħu, inkluż l-interface tal-ħruġ u s-sors preferut. Jekk issemmi l-interface fiżika, bind u r-rotta ma jaqblux, u l-pakkett joħroġ b’sors li t-triq ma tistax terġa’ lura għalih.

Imbagħad ip rule show jgħidlek jekk xi regola kinitx tagħżel tabella oħra. Il-prijoritajiet jgħoddu hawn, għax tirbaħ l-ewwel regola li taqbel, u regola li taqbad kollox fuq regola tiegħek tagħmel regola tiegħek inviżibbli.

Installa regola tal-politika biss jekk dan hu d-disinn

Routing ibbażat fuq is-sors hu disinn deliberat, mhux tiswija għal app waħda. Jekk is-sid tal-politika jrid li t-traffiku mis-subnet tal-mina juża l-mina, ir-regola tappartjeni għall-konfigurazzjoni tiegħu u mhux għal kmand ta’ darba fuq il-laptop tiegħek.

Forma li taħdem hi tabella dedikata b’rotta default mill-mina, flimkien ma’ regola li tibgħat il-firxa tas-sors tal-VPN f’dik it-tabella. Żid l-eċċezzjonijiet li jeħtieġ id-disinn, għax tabella li fiha biss default tal-mina taqbad destinazzjonijiet li għandhom jibqgħu lokali jew jintlaħqu mit-triq fiżika.

ip route add default dev tun0 table 100
ip rule add from 10.8.0.2 table 100 priority 100
ip route get 203.0.113.10 from 10.8.0.2

Irreverti b’ip rule del u ip route flush table 100. Kull ma jiżdied hekk jisparixxi meta jibda mill-ġdid sakemm maniġer ma jiktibhiex, li hu kemm propjetà tas-sigurtà kif ukoll raġuni biex ma żżommx l-unika kopja fl-istorja tas-shell tiegħek.

Ivverifika b’tliet osservazzjonijiet

Irreġistra s-sors li talbet l-app, ir-rotta li għażlet it-tiftixa, u s-sors li s-server fil-fatt ra.

Dawn it-tlieta jistgħu ma jaqblux, u kull nuqqas ta’ qbil jindika lejn post ieħor. Qabda fuq l-interface tal-mina tipprova li l-pakkett ħareġ bis-sors it-tajjeb. Qabda fuq l-interface fiżika tipprova li ħareġ mit-triq ħażina. Il-viżjoni min-naħa tas-server hija l-unika waħda li tipprova t-triq minn tarf għal tarf.

Jekk l-app toffri għażla ta’ rabta ma’ apparat jew mod ta’ routing għal kull app, ittratta bħala mekkaniżmu ieħor b’restrizzjonijiet oħra. Settings li jidhru simili mhux kollha jwasslu għall-istess deċiżjoni tal-qalba.

Artikli relatati