Dante SOCKS permezz ta' VPN: mina sħiħa kontra routing bis-sors

Trid li t-traffiku tal-proxy SOCKS joħroġ mill-VPN waqt li l-bqija tal-host iżomm il-passaġġ normali tiegħu. Żewġ disinji jagħmlu dan, u huma differenti f'dak li jinkiser meta xi ħaġa tmur ħażin. Wieħed jimbutta rotta prestabbilita fil-mina u mbagħad idur magħha; l-ieħor iħalli t-tabella ewlenija fil-kwiet u jibgħat indirizz tas-sors wieħed għal tabella oħra. It-tieni huwa aktar nadif, u għandu n-nases tiegħu stess.

Żewġ disinji, żewġ raġġi ta' ħsara differenti

Id-disinn tal-mina sħiħa huwa dak li jagħmlu l-biċċa l-kbira tal-klijenti VPN b'mod prestabbilit: ibdlu r-rotta prestabbilita biex kollox isegwi l-mina, u mbagħad eskludu dak li ma għandux. Faċli biex taħseb dwaru u diffiċli biex iżżommu dejjaq, għax kull servizz lokali li żżid jiret il-mina sakemm teskludih. Il-mod tal-falliment huwa wiesa', għax rotta waħda ħażina tieħu magħha l-konnettività tal-host stess.

Id-disinn bl-għażla tas-sors imur id-direzzjoni opposta. It-tabella ewlenija tibqa' kif kienet, u regola waħda ta' politika tibgħat pakketti minn indirizz lokali speċifiku għal tabella b'rotta prestabbilita tal-mina. Xejn ieħor ma jinbidel, li jfisser li r-raġġ ta' ħsara huwa indirizz wieħed.

Dan id-dejjaq huwa wkoll il-limitu: id-disinn jaħdem biss jekk il-pakketti li joħorġu mill-proxy tassew iġorru dak l-indirizz.

X'jagħmel is-setting external ta' Dante

Is-setting external jagħżel l-indirizzi li l-proxy juża għall-konnessjonijiet li joħorġu; ma jmissx il-politika tal-routing tal-qalba. Dan is-separazzjoni huwa dak li jagħmel it-tieni disinn possibbli, u hawnhekk in-nies jaqraw id-dokumentazzjoni ħażin. Li tħares external lejn indirizz tal-mina jġiegħel lill-proxy joħroġ il-konnessjonijiet tiegħu minn dak l-indirizz, u mbagħad it-tabella tal-routing tiddeċiedi fejn imorru dawk il-pakketti.

Is-semmiegħ hija kwistjoni separata. Żomm internal ristrett għall-klijenti li għandhom jużaw il-proxy, titlob awtentikazzjoni, u agħlaq il-port b'firewall, għax semmiegħ miftuħ mhuwiex karatteristika tal-ħruġ tal-VPN.

Ikkonferma li l-indirizz ikkonfigurat tassew jappartjeni lill-mina fl-ispazju tal-ismijiet tan-netwerk tal-proxy.

Nibnu t-tabella bl-għażla tas-sors

Għal indirizz TUN ta' 10.90.0.2/24 b'peer li jintlaħaq f'10.90.0.1, u numru ta' tabella li xejn ieħor juża, l-arranġament jidher hekk:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Ir-rotta li ma tintlaħaqx hija l-parti li n-nies jaqbżu. Mingħajrha, tabella li r-rotta tal-mina tagħha tisparixxi taqa' fuq ir-rotta prestabbilita ordinarja u l-proxy joħroġ bil-kwiet mill-WAN. Magħha, it-tfittxija tfalli, li hija falliment viżibbli minflok tnixxija kwieta. Il-prijorità tar-regola wkoll trid tkun quddiem kull ħaġa oħra li taqbel ma' dak is-sors.

Dawn il-valuri jiddeskrivu topoloġija waħda. Il-peer punt-punt, l-indirizzar net30 u l-klijenti li jqassmu prefiss differenti kollha jeħtieġu r-rotot tagħhom, għalhekk ikkopja l-forma, mhux l-indirizzi.

Fejn tnixxi r-regola tas-sors

Regola li taqbel ma' indirizz tas-sors taffettwa kull proċess li jużah, mhux biss il-proxy. Jekk daemon ieħor jorbot l-istess indirizz, it-traffiku tiegħu wkoll jieħu l-mina, u l-falliment jidher bħala problema ta' servizz mhux relatat. Agħti lill-proxy indirizz li xejn ieħor juża, jew aċċetta li l-firxa hija l-indirizz u mhux il-proċess.

DNS hija t-tnixxija l-oħra. Socket tar-resolver mhux bilfors juża s-sors tad-data li joħorġu tal-proxy, għalhekk it-tfittxijiet tal-ismijiet xorta jistgħu joħorġu mill-WAN. Iġġarrab ir-riżoluzzjoni separatament mit-twaqqif tal-konnessjoni, u tiddeċiedi jekk dak ir-riżultat huwiex aċċettabbli.

IPv6 jeħtieġ ir-regoli u r-rotot tiegħu stess, għax arranġament IPv4 ma jipprovax xejn dwaru.

Agħżel skont il-falliment li tista' tittollera

Agħżel il-mina sħiħa meta l-host għandu jiġi protett b'mod sħiħ u tista' żżomm il-lista tal-esklużjonijiet. Agħżel routing ibbażat fuq is-sors meta l-host irid iżomm il-passaġġ tiegħu u servizz wieħed biss għandu jiġi ridirett. It-tnejn huma leġittimi; l-iżball huwa li tagħżel wieħed u mbagħad tittestjah bħallikieku l-ieħor.

Liema wieħed tagħżel, ivverifika miż-żewġ naħat: talba permezz tal-proxy u talba diretta mill-host, bl-indirizz tal-ħruġ osservat irreġistrat għal kull waħda.

Jekk il-mina taqa', iddeċiedi minn qabel jekk il-proxy għandux ifalli jew jiġi lura, u ħalli t-tabella tal-routing tesprimi dik id-deċiżjoni.