OpenVPN iroute kontra r-rotta tal-kernel: liema hija nieqsa?

Pakett għal 10.77.20.0/24 jieħu żewġ deċiżjonijiet separati fuq server OpenVPN: is-sistema operattiva trid tgħaddih lill-interface VPN, u OpenVPN trid tkun taf liema klijent konness jippossjedi dak il-prefiss. Rotta tal-kernel nieqsa tarmih qabel il-mina, u rotta tal-pari nieqsa tarmih wara. Iż-żewġ fallimenti jidhru l-istess mill-LAN imbiegħda, u biex tiddijanjostika liema waħda għandek teħtieġ kmand wieħed fuq kull naħa.

Fil-passaġġ tad-dejta klassiku fl-ispazju tal-utent, ir-rotta tal-kernel iġġib il-pakett fil-proċess tal-mina u iroute jgħid lil dak il-proċess liema pari għandu jirċevih. L-ebda waħda ma tissostitwixxi lill-oħra, u konfigurazzjoni li ġġorr waħda biss minnhom tidher raġonevoli sal-ewwel ping.

Żewġ deċiżjonijiet, mhux rotta waħda

Immaġina konnessjoni minn sit għal sit fejn 10.77.20.0/24 tinsab wara klijent wieħed. Ir-rotta tal-kernel tas-server, pereżempju ip route add 10.77.20.0/24 dev tun0, tibgħat il-paketti li jaqblu lill-apparat tal-mina. Imbagħad OpenVPN jikkonsulta t-tabella interna tiegħu stess, mibnija mid-dħuliet iroute fid-direttorju tal-konfigurazzjoni tal-klijent, biex jiddeċiedi liema konnessjoni tal-pari tirċevihom. Mingħajr ir-rotta tal-kernel il-pakett qatt ma jasal għall-proċess, u mingħajr ir-rotta tal-pari jasal għall-proċess u ma jmur imkien.

Dik il-qasma faċli tinsa, għax linja waħda ta’ rotta fil-profil tal-klijent tista’ tidher li tagħmel iż-żewġ xogħlijiet. Ma tagħmilx: imbotta rotta jgħid lill-klijenti x’għandhom jibagħtu mill-mina, filwaqt li iroute jgħid lis-server min jippossjedi firxa ta’ indirizzi wara klijent. Jgħixu f’fajls differenti, jinqraw minn naħat differenti, u jfallu f’direzzjonijiet opposti.

Fejn tappartjeni iroute u x’tgħid

Id-dħul imur f’fajl għal kull klijent imsemmi għall-common_name tal-klijent, taħt client-config-dir, bħala iroute 10.77.20.0/24. Il-qbil tal-isem tal-fajl mhuwiex kosmetiku: OpenVPN ifittex l-identità awtentikata u jaqra l-fajl b’dak l-isem eżatt, għalhekk fajl bl-isem site-a japplika biss għal klijent li l-isem komuni tiegħu huwa site-a. Żid ccd-exclusive jekk klijenti mingħajr fajl bħal dan għandhom jiġu rrifjutati għal kollox, li hija s-setting korretta meta kull klijent huwa gateway tas-sit. Żomm fajl wieħed għal kull gateway u semmih għas-suġġett taċ-ċertifikat li tassew toħroġ.

Ittestja d-dħul mis-server qabel ma tagħti tort lill-LAN imbiegħda. Il-fajl tal-istat jelenka l-klijenti konnessi bl-ismijiet komuni tagħhom, u server li jaħdem b’--verb 4 jirreġistra l-installazzjoni ta’ iroute fil-mument li l-pari jikkonnettja. Jekk ma jidher xejn fil-ħin tal-konnessjoni, il-fajl jinsab fid-direttorju żbaljat jew isemmi identità żbaljata.

In-nassa: il-fajl hemm, l-identità hija żbaljata

iroute li jidher korrett imma mwaħħal mal-pari żbaljat jaħli iktar ħin minn fajl nieqes, għax kollox fuq id-diska jidher tajjeb. Tibdil tal-isem taċ-ċertifikati, ismijiet komuni dduppjati, u username-as-common-name li jbiddel l-identità effettiva kollha jipproduċuh. Iċċekkja liema identità awtentikat is-server, mhux liema kont tistenna: l-output tal-istat huwa awtorevoli, filwaqt li l-isem tal-fajl huwa biss muftieħ tat-tiftix.

Rotta tista’ tgħix iktar mill-proprjetarju tagħha. Rotot statiċi u dħuliet iroute jiddeskrivu prefiss, mhux garanzija ta’ disponibilità, għalhekk it-traffiku jista’ jibqa’ jiġi dirett lejn pari li bħalissa huwa skonnettjat.

Tlesta l-passaġġ lil hinn mill-pari

Il-pussess tal-pari huwa nofs il-passaġġ, mhux it-tmiem. Il-klijent irid jgħaddi l-paketti mill-mina għal-LAN tiegħu, li jfisser li l-ipproċessar tal-IP ikun mixgħul fuq dak il-host u regola tal-firewall tippermetti t-tranżitu. Il-hosts fil-LAN imbiegħda jeħtieġu passaġġ lura għall-indirizz tal-mina: jew rotta li tipponta lura lejn il-gateway, jew disinn tan-NAT maħsub apposta fuq in-naħa tal-klijent. Ikkonferma s-setting tal-ipproċessar fuq il-klijent b’sysctl net.ipv4.ip_forward minflok ma tassumi valur default tad-distribuzzjoni.

Jekk klijenti VPN oħra għandhom jilħqu dik is-subnet, l-arranġament jerġa’ jikber: is-server jeħtieġ client-to-client, u dawk il-klijenti għandhom jagħtu rotta lill-prefiss mill-mina. Xejn minn dan mhu implikat mit-tabella tar-rotot tas-server stess.

Ivverifika destinazzjoni waħda minn sors reali minflok mis-server stess. Ping minn host LAN mhux relatat għal host wara l-klijent jeżerċita l-passaġġ lura, ir-regola tal-ipproċessar u l-pussess tal-pari fi ħarġa waħda, filwaqt li handshake li jirnexxi jipprova biss l-identità. Imbagħad skonnettja l-pari proprjetarju u nnota x’tagħmel ir-rotta, għax dik it-tweġiba hija l-mod tal-falliment tiegħek.