L-istess IP tas-server, żewġ mogħdijiet: l-immarcar tal-fluss ta' barra ta' OpenVPN

Il-protezzjoni tas-soltu kontra l-linja hija rotta tal-host: ibgħat it-traffiku lejn l-indirizz pubbliku tas-server VPN 'il barra mill-uplink sabiex is-sessjoni ċċifrata qatt ma tidħol fit-tunnel tagħha stess. Dan jaħdem sa eżattament il-mument meta tkun trid tilħaq ukoll servizz web fuq l-istess server permezz tat-tunnel, għax l-eżenzjoni hija marbuta mad-destinazzjoni u d-destinazzjoni hija identika. L-ħruġ huwa li tieqaf tikklassifika skont id-destinazzjoni u tibda tikklassifika skont liema socket bagħtet il-pakkett.

Ibda miż-żewġ flussi li trid tissepara

Fluss wieħed huwa t-trasport OpenVPN ċċifrat innifsu, li għandu joħroġ mill-uplink, inkella t-tunnel iġorr il-konnessjoni ta' barra tiegħu stess. L-ieħor huwa talba HTTPS ordinarja lejn l-istess indirizz pubbliku, li tridha tkun ġewwa t-tunnel sabiex tasal għas-servizz minn sors tat-tunnel. L-istess destinazzjoni, f'ħafna każijiet l-istess numru tal-port, mogħdija meħtieġa differenti.

F'dan id-dawl, ejja nassumu klijent fuq 10.90.0.10 fuq tun1, indirizz pubbliku tas-server ta' 198.51.100.25, u tabella prinċipali mhux mittieħda li l-default tagħha jipponta lejn l-uplink ordinarju. In-naħa tas-server trid ukoll taċċetta s-servizz web fuq il-mogħdija ta' ġewwa u tibgħat it-traffiku lura lejn is-sors tat-tunnel; li tibgħat pakkett lejn indirizz pubbliku ma jissostitwix lill-listener jew il-politika tal-firewall tas-server.

Qabel ma tibdel xejn, ġib ir-regoli attwali tal-host u agħżel valuri li ħadd ieħor ma juża: marka, numru tat-tabella u tliet prijoritajiet tar-regoli. Żomm triq lura fil-magna li ma tgħaddix minn din il-konnessjoni, għax żball hawn ineħħi l-aċċess remot tiegħek stess minflok ma jkisser biss tab tal-browser.

Immarka s-socket li ġġorr l-involukru

Il-konfigurazzjoni tal-klijent takkwista marka għall-pakki ċċifrati tiegħu li joħorġu, u tieqaf tinstalla rotot waħedha sabiex il-politika tas-sostituzzjoni tkun l-unika ħaġa li tiddeċiedi l-mogħdijiet:

mark 42
route-noexec
disable-dco

Id-deċimali 42 huwa l-esadeċimali 0x2a, u l-forma esadeċimali hija dik li magħha jaqblu r-regoli tal-binarji. Ir-referenza tal-link-options tiddeskrivi mark bħala li tapplika għall-pakki ċċifrati li joħorġu fuq Linux, li huwa eżattament is-socket li trid tikkontrolla l-mogħdija tiegħu. L-iddiżattivar tal-offload tal-kanal tad-data jżomm dan l-eżempju fuq il-mogħdija tal-userspace, fejn l-imġiba tal-marka hija dik deskritta.

route-noexec irażżan iż-żieda u t-tneħħija awtomatika tar-rotot minn OpenVPN. Ma jinstallax xejn flokhom, għalhekk minn dan il-mument is-sid tar-rotot irid iżomm kull rotta li t-tunnel jeħtieġ. Jekk destinazzjoni privata tisparixxi wara l-bidla, dik hija l-politika tas-sostituzzjoni nieqsa, mhux difett fil-marka.

Tħallix rotta tal-host fit-tabella prinċipali għal 198.51.100.25 waqt li tagħmel dan. Rotta bħal din terġa' ddaħħal eżattament l-eżenzjoni li d-disinn qed jipprova jnaqqas, u se tirbaħ għall-fluss HTTPS qabel ma tiġi kkonsultata xi waħda mill-politiki hawn taħt.

Ibgħat kollox ieħor lit-tabella tat-tunnel

Ladarba l-interface tat-tunnel teżisti u żżomm l-indirizz tagħha, il-politika tidher hekk:

ip -4 route add default dev tun1 src 10.90.0.10 table 47100
ip -4 rule add priority 20000 lookup main suppress_prefixlength 0
ip -4 rule add priority 20001 not fwmark 0x2a lookup 47100
ip -4 rule add priority 20002 not fwmark 0x2a unreachable

L-ewwel regola żżomm ir-rotot speċifiċi tal-host viżibbli, inkluż kwalunkwe netwerk lokali approvat, filwaqt li tagħmel ir-rotta default tat-tabella prinċipali inviżibbli għal dan it-tiftix. Dik id-distinzjoni hija importanti: li trażżan id-default mhuwiex l-istess bħal li tinjora t-tabella, u l-eċċezzjonijiet lokali li għadek teħtieġ jgħixu proprju minħabba fiha. Aqra dawk l-eċċezzjonijiet wieħed wieħed minflok ma tassumi li r-riżultat huwa swiċċ tal-waqfien universali.

It-traffiku mhux immarkat imbagħad jaqa' għat-tabella tat-tunnel, jaqbad is-sors tat-tunnel, u joħroġ mill-VPN. It-traffiku immarkat ifalli t-test tal-fwmark fuq iż-żewġ regoli li jmiss u jkompli għat-tiftix prinċipali ordinarju aktar 'l isfel fil-lista, fejn id-default tal-uplink għadu hemm. Ir-regola unreachable finali hija dik li twaqqaf fluss mhux immarkat milli jaqa' bil-kwiet lura għall-uplink meta r-rotta tat-tunnel tkun nieqsa. Is-selettur huwa l-marka mill-bidu sat-tmiem, u l-indirizz tad-destinazzjoni qatt ma jidħol fid-deċiżjoni.

Żomm dak il-gwardjan f'postu matul skonnessjonijiet, u installah mal-bqija tal-politika minflok bl-idejn. Regola li tisparixxi mal-interface mhijiex politika, hija koinċidenza. Li tħassar il-politika meta t-tunnel jaqa' jbiddel il-modalità tal-falliment minn “imblukkat” għal “mnixxef”, u rotta tat-tunnel skaduta li tispiċċa aktar tard hija problema ħafna aktar faċli tispjegaha minn traffiku li ħareġ mill-interface ħażina.

Ħalli l-mogħdija lura tara l-istess marka

Il-marki li joħorġu huma biss nofs il-mekkaniżmu, u dan huwa l-parti li l-biċċa l-kbira tar-riproduzzjonijiet iħallu barra. It-tweġibiet għas-sessjoni ċċifrata jaslu fuq l-uplink u huma soġġetti għall-validazzjoni tal-mogħdija lura, li tistaqsi jekk is-sors jixxerjax lura bl-istess mod li ġie. Mingħajr għajnuna, dak it-tiftix japplika l-politika tat-tunnel mhux immarkata tiegħek u jikkonkludi li l-pakkett jinsab fuq l-interface ħażina.

Is-sewwa jappartjeni lis-sid tal-firewall: issalva l-marka fuq il-konnessjoni li toħroġ, erġa' stabbilixxiha fuq pakki dejjem dieħla li jaqblu, u ppermetilimmaniġġjar tal-marki vvalidati mis-sors għall-mogħdija rilevanti. Li OpenVPN jistabbilixxi marka tas-socket ma jagħmel l-ebda minn dawn it-tliet affarijiet, u riċetta li telenka biss l-għażliet tal-klijent hija inkompleta. Itlob dik l-integrazzjoni bil-miktub, għax hija l-inqas parti viżibbli tad-disinn u l-aktar faċli li tintilef fi bini mill-ġdid.

Lanqas il-verifika laxka tal-mogħdija lura mhija sostitut. Il-modalità laxka xorta teħtieġ li teżisti xi rotta għas-sors, u l-gwardjan unreachable li żidt ineħħi waħda b'mod deliberat għat-tiftix mhux immarkat. Ħalli l-integrazzjoni tal-marka tal-konnessjoni titlesta u tiġi riveduta qabel ma tiddependi fuq dan id-disinn, u ttratta l-filtri tal-host bħala kwistjoni separata: marka hija sinjal tal-binarji, mhux permess. Jekk l-integrazzjoni hija nieqsa, is-sintomu huwa sessjoni li tistabbilixxi u mbagħad issir kwieta hekk kif it-tweġibiet jibdew jaslu.

Ipprovah b'żewġ tfittxijiet tar-rotta

Qabbel dak li jiddeċiedi l-kernel għaż-żewġ kuntesti, u aqra l-oqsma dev u src minflok l-istatus tal-ħruġ:

ip -4 route get 198.51.100.25
ip -4 route get 198.51.100.25 mark 0x2a

L-ewwel tiftixa għandha tissolvi għal tun1 mas-sors tat-tunnel, u t-tieni għall-uplink. Dawn huma tfittxijiet sintetiċi, għalhekk jippruvaw il-politika u mhux il-proċess ħaj: ikkonferma l-mogħdija tat-trasport reali tal-klijent li qed jaħdem b'mod separat, imbagħad agħmel talba HTTPS vera bil-verifika taċ-ċertifikat mixgħula.

Ikteb dak li d-disinn ma jkoprix qabel ma tiddikjara li lest. DNS, IPv6 u ċ-ċiklu tal-ħajja tar-regoli jeħtieġu d-deċiżjoni tagħhom, u dan huwa eżempju tal-binarji IPv4 aktar milli konfigurazzjoni sħiħa tal-privatezza. Il-valur tiegħu huwa s-selettur: l-involukru jieħu l-eżenzjoni tal-uplink, u servizz ordinarju fl-istess indirizz m'għandux għalfejn jirtieha.