Għaliex rotta ta’ tunnel sħiħ taqta’ s-server li jġorrha

Ixegħel tunnel sħiħ u issa kull destinazzjoni tappartjeni għall-interface VPN, inkluża l-magna li ttemmha. Il-pakketti ta’ barra li jġorru l-mina huma indirizzati lejn dik il-magna, għalhekk ir-rotta fl-aħħar tikkonsma t-trasport li fuqu tiddependi. Rotta speċifika waħda żejda ssolviha, u r-raġuni tajba li tinftiehem. Mingħajr dik ir-raġuni, il-bini mill-ġdid li jmiss jerġa’ jdaħħal il-ħsara.

Rotta li tiekol it-trasport tagħha stess

L-inkapsulament idawwar kull pakkett f’intestatura oħra. Dik ta’ barra hija indirizzata mill-indirizz fiżiku lokali għall-indirizz pubbliku tas-server, u trid taqsam il-konnessjoni fiżika qabel ma jista’ jeżisti xi tunnel.

Issa ħalli t-tfittxija għal dak l-indirizz pubbliku tagħżel il-mina. Biex tibgħat il-pakkett, il-magna trid tinkapsulah, li jeħtieġ rotta lejn l-istess indirizz, li tirritorna l-mina. Il-klijenti jittrattaw dan b’waħda minn żewġ modi. Dak attent jirrifjuta li jinstalla r-rotta default u jirrapporta żball, filwaqt li dak inqas attent jirrapporta suċċess u mbagħad ma jċaqlaq xejn. Il-falliment siekta huwa dak li jiswa nofs ta’ jum.

It-tqabbil tal-prefiss l-itwal jiddeċiedi t-tfittxija qabel ma tiġi kkonsultata xi metrika, għalhekk rotta ta’ indirizz wieħed taqbeż kull rotta default fuq il-magna. Dan huwa l-mekkaniżmu kollu wara t-tiswija.

Installa l-eċċezzjoni qabel dik default

Oħloq rotta ta’ indirizz wieħed għas-server, bil-gateway fiżiku bħala l-hop li jmiss, qabel ma tiċċaqlaq ir-rotta default. L-ordni hija importanti: installaha wara jfisser tgħix b’mina miksura waqt li tikteb.

Il-biċċa l-kbira tal-klijenti jagħmlu dan mingħajr ma jintalbu. OpenVPN jfittex l-indirizz remot u jiffissah qabel ma jerġa’ jikteb il-gateway default, u l-għażla route-delay tiegħu teżisti għall-pjattaformi fejn dik is-sekwenza tiġri. wg-quick jieħu triq kompletament oħra, billi jimmarka l-pakketti u jikkonsulta regola tal-politika minflok ma jżid eċċezzjoni. Mekkaniżmi differenti, l-istess rekwiżit: il-pakkett ta’ barra jrid jaħrab mill-mina li joħloq.

ip route add 203.0.113.10/32 via 192.168.1.1 dev eth0
ip route get 203.0.113.10

Il-ġabra tat-tfittxija hija t-test ta’ aċċettazzjoni. Trid issemmi l-apparat fiżiku u l-hop fiżiku li jmiss. Apparat tal-mina f’dik it-tweġiba jfisser li l-eċċezzjoni hija nieqsa, jew tqiegħdet wara xi ħaġa li tegħlebha.

L-immaġni tal-mera fuq is-server

L-istess nassa tistenna fuq in-naħa l-oħra, maqluba. Agħti lis-server rotta default minn mina oħra, jew imbotta lejh rotta li tkopri l-indirizzi pubbliċi tal-klijenti, u t-tweġibiet tiegħu jiksbu drawwa fid-direzzjoni l-ħażina.

Immaġina klijent li jikkonnettja u jibgħat talba. It-tweġiba hija indirizzata lejn l-indirizz pubbliku ta’ dak il-klijent, li issa jaqbel ma’ rotta tal-mina, għalhekk titlaq minn interface differenti waqt li ġġorr sors li l-klijent qatt ma ċempel. Il-klijent jista’ jirċievi dak il-pakkett u xorta jarmih, għax xejn ma jorbu mat-talba li bagħat. Ibda mid-deċiżjoni tar-routing tas-server u mhux mit-timeout tal-klijent, għax waħda biss minnhom turi l-għażla reali.

ip route get 198.51.100.44 from 10.90.0.1
ip rule show
sudo tcpdump -ni any host 198.51.100.44

Hemm tliet tiswijiet u mhumiex ugwali. Li tiffissa s-servizz mal-indirizz fiżiku, jew li tittraduċi s-sors, it-tnejn jaħbu d-deċiżjoni tar-routing minflok ma jikkoreġuha. Li tibgħat it-traffiku tat-tweġibiet għall-pool tal-mina minn tabella dedikata tissewwi l-kawża, u t-tnejn l-oħra huma aċċettabbli biss sakemm id-disinn tar-routing ikun iffriżat.

Eċċezzjonijiet li l-mina tkompli tisraq

Numru żgħir ta’ kompiti jeħtieġu l-internet miftuħ anke meta l-mina tkun qed tippossjedi r-rotta default, u kull wieħed jeħtieġ eċċezzjoni tiegħu. L-aġġornatur tad-DNS dinamiku normalment ikun l-ewwel li jinkiser.

Jissolvi l-fornitur, jiftaħ konnessjoni u jsib il-pakketti tiegħu stess jivvjaġġaw minn mina li l-indirizz tagħha nbidel sekondi qabel, għalhekk l-aġġornament ifalli jew jippubblika l-indirizz ħażin. Tliet toroq ’il barra: iffissa l-fornitur b’rotta tal-host mill-gateway fiżiku, ħaddem l-aġġornament qabel ma titla’ l-mina, jew agħti lill-aġġornatur tabella tal-politika li l-mina qatt ma tmissha. Is-sinkronizzazzjoni tal-ħin għandha l-istess espożizzjoni fuq apparat li jibda mingħajr resolver, u l-punti tat-tarf tal-validazzjoni taċ-ċertifikati jappartjenu għal-lista għall-istess raġuni.

Eċċezzjoni li ħadd ma kitibha hija eċċezzjoni li l-bini mill-ġdid li jmiss se jwaqqa’ bil-kwiet.

Ippruvaha wara rikonnessjoni, mhux qabel

Ittestja tliet destinazzjonijiet, mhux waħda: il-punt tat-tarf, indirizz privat wara l-mina, u indirizz pubbliku lil hinn minnha. Tfittxija waħda li tirnexxi kważi xejn ma tgħid dwar it-tnejn l-oħra.

ip route get 203.0.113.10
traceroute -n 203.0.113.10
ip route get 10.90.0.5
ip route get 1.1.1.1

Imbagħad erġa’ ibda l-konnessjoni, għax klijent li jerġa’ jibni t-tabella tiegħu mar-rikonnessjoni se jarmi rotta li ktibt bl-idejn. B’kill switch attiv, iċċekkja li l-punt tat-tarf huwa permess, inkella l-mina ma tistax terġa’ lura wara bidla fin-netwerk u s-sintomu jidher bħal qtugħ. Aħżen l-eċċezzjoni fil-profil jew fil-fajl unit u mhux fl-istorja tal-shell, sabiex ir-rikonnessjoni terġa’ toħloqha minflok tħassarha.