Tunnel sħiħ qatel is-sessjoni SSH tiegħek: waħħal ir-rotta tar-ritorn

Ibda OpenVPN klijent fuq il-magna li qed taħdem fuqha permezz ta' SSH, u f'nofs il-kmand is-sessjoni tiffriża. It-tunnel jgħid li huwa konness, il-host jasal għall-internet permezz tiegħu, u l-miftieħ tiegħek xorta jasal waqt li xejn ma jerġa' lura. Dak li nbidel mhuwiex it-tunnel: huwa r-rotta tar-ritorn għall-pakketti indirizzati lilek, li issa taqbel mar-rotta default il-ġdida u tidħol f'tunnel li l-gateway imbiegħed mhux se juża biex jasal għall-iskrivanija tiegħek.

X'inhuma tassew jinstalla redirect-gateway

Fil-forma def1 tiegħu redirect-gateway iżid 0.0.0.0/1 u 128.0.0.0/1 minflok ma jikteb fuq ir-rotta default. Dawn iż-żewġ nofsijiet ikopru l-ispazju kollu tal-indirizzi filwaqt li t-tnejn jibqgħu prefissi itwal minn 0.0.0.0/0, għalhekk kwalunkwe destinazzjoni mingħajr qbil aktar speċifiku issa tidħol fit-tunnel. Dan huwa l-mekkaniżmu li wieħed għandu jiftakar, għax kull tiswija hawn taħt taħdem billi tinstalla qbil aktar speċifiku.

L-indirizz amministrattiv tiegħek huwa waħda minn dawk id-destinazzjonijiet.

Is-server VPN jgħaddi t-traffiku tal-klijenti tiegħu lejn l-internet. M'għandux rotta għall-indirizz pubbliku li minnu qed tikkonnettja, u lanqas raġuni biex jittratta dawk il-pakketti bħala xi ħaġa oħra għajr traffiku li ġej minn klijent, għalhekk jarmihom. Sadanittant it-talba li bgħatt xorta waslet għall-host, u għalhekk is-sessjoni tidher ħajja minn naħa waħda biss.

ip route show table main | head -n 20
ip route get 198.51.100.23

Sib l-indirizz tas-sors tiegħek u t-triq qabel it-tunnel

Fuq is-server, elenka l-konnessjoni SSH stabbilita u noti l-indirizz tal-pari li minnu ġiet. Dak l-indirizz huwa dak li r-rotta tar-ritorn tiegħek trid tkopri, u mhux dejjem huwa dak li taħseb: host tal-qbiż, gateway NAT jew traduttur tal-operatur jistgħu jdaħħlu sors ieħor.

Imbagħad sib il-gateway fiżiku u l-interface li ġarrew it-traffiku qabel ma beda t-tunnel. Fil-def1 tqassim ir-rotta default għadha preżenti taħt il-mez-rostot default, għalhekk l-informazzjoni hija disponibbli, għalkemm il-qari ta' tabella twila ta' rotot bl-għajn jistieden żbalji.

Noti ż-żewġ valuri u l-isem tal-interface flimkien, għax ir-rotta li se żżid teħtieġ it-tlieta. Jekk il-host uża regola ta' routing ibbażata fuq il-politika biex jagħżel l-uplink tiegħu, rotta sempliċi forsi ma tiġix ikkunsidrata affattu, u dik il-possibbiltà tbiddel it-tiswija.

Waħħal rotta tal-host li taqbeż il-mez-rostot default

Rotta /32 hija itwal minn kull waħda miż-żewġ mez-rostot default, għalhekk it-tweġibiet għall-indirizz tiegħek jagħżluha minflok it-tunnel. Il-qabża li jmiss hija l-gateway qabel it-tunnel u l-apparat huwa l-interface fiżika, li żżomm il-pakkett fit-triq li kien juża qabel ma teżisti t-tunnel.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Ivverifika b'tfittix minflok ma tispezzjona t-tabella: it-tweġiba trid issemmi eth0 u l-gateway, qatt tun0.

OpenVPN diġà jżid rotta tal-host lejn l-indirizz tas-server VPN stess għall-istess raġuni, għalhekk ix-xejra hija familjari u l-indirizz amministrattiv huwa sempliċement eċċezzjoni oħra. Tistax tuża route-nopull biex issewwi dan, għax jitfa' r-rotot imbuttati li t-tunnel jeħtieġ, inkluża n-netwerk imbiegħed u l-għażliet DNS.

Agħmel biex jiflaħ konnessjoni mill-ġdid

Rotta miżjuda bl-idejn tisparixxi meta l-klijent jerġa' jikkonnettja u jinstalla tiegħu, li jibdel tiswija fi tfixkil rikorrenti. Waħħal il-kmand ma' xi ħaġa li taħdem wara li jiġu installati r-rotot.

Kemm route-up skript kif ukoll il-qarma pre-up tal-maniġer tan-netwerk jaħdmu, u l-verifika affidabbli hija konnessjoni mill-ġdid segwita mill-istess tfittix.

Fuq Windows l-ekwivalenti hija rotta persistenti miżjuda b'-p, li tiflaħ ir-restarts iżda xorta trid tindika lejn il-gateway korrett wara bidla fin-netwerk. Tkun xi tkun il-pjattaforma, ikteb ir-raġuni ħdejn ir-rotta: l-amministratur li jmiss jeħtieġ ikun jaf li teżisti biex tipproteġi sessjoni ta' ġestjoni, mhux għax id-disinn tan-netwerk kien jeħtieġha.

Meta rotta mwaħħla xorta ma tkunx biżżejjed

Il-filtrazzjoni tar-rotta inversa tista' tarmi pakkett li jasal fuq interface u joħroġ minn oħra, u dan huwa eżattament dak li toħloq rotta mwaħħla. Iċċekkja l-valur rp_filter effettiv qabel ma tiddiżattiva xi ħaġa globalment, u ppreferi ssewwi l-asimetrija milli tiddiżattiva l-verifika. Tapplika l-konfigurazzjoni għal kull interface, u l-mod loose spiss biss jirreġistra l-asimetrija minflok ma jarmi l-pakkett. Aqra t-tnejn qabel ma tikkonkludi li l-filtru huwa tort tiegħek.

L-hosts b'routing ibbażat fuq il-politika jeħtieġu regola kif ukoll rotta, għax il-bażi tar-regoli tagħżel it-tabella qabel ma tiġi kkunsidrata r-rotta fiha. Rotta fit-tabella main hija inviżibbli għal fluss li jaqbel ma' regola li tindika lejn tabella oħra. Aqra r-regoli qabel ma żżid xi ħaġa ma' main. Jekk regola diġà tkopri t-traffiku tal-ġestjoni, l-eċċezzjoni tappartjeni lit-tabella ta' dik ir-regola.

Żomm console barra mill-banda miftuħa waqt li tittestja, u erġa' ċċekkja minn login ieħor qabel ma tiskonnettja dak li qed tuża. Rotta li tibgħat it-traffiku tal-ġestjoni tiegħek stess fit-tunnel taqta' l-konnessjoni li qed issewwi permezz tagħha. Id-dħul mill-ġdid imbagħad ifisser console serjali jew boot tas-salvataġġ, li hija skambju ħażin għal li taqbeż pass wieħed ta' verifika.