Il-pull-filter ta' OpenVPN jaqbel ma' aktar mir-rotta li kellek f'moħħok

Iżżid linja waħda biex iżżomm ir-rotta default lokali tiegħek, u wara dan il-mina ma tibqax tilħaq is-server DNS intern. Il-linja kienet pull-filter ignore "route", li ma tfissirx "injorja din ir-rotta". Tfisser "armi kull għażla mbuttata li t-test tagħha jibda b'dawk il-ħames ittri", u fuq server normali dan jinkludi route-gateway, route-metric u route-ipv6 flimkien mar-rotot infushom. Il-lista ta' kontroll hawn taħt hija dik li nħaddem qabel ma nċaqlaq profil li xi ħadd ieħor irid juża.

Il-filtru japplika biss għall-għażliet imbuttati

pull-filter jaħdem biss fuq il-linji tal-għażliet li s-server jibgħat wara li tiġi stabbilita l-mina, u fuq xejn ieħor. L-għażliet miktuba fil-fajl lokali tiegħek ma jiġux affettwati minnu, u lanqas it-traffiku tal-applikazzjonijiet. Jekk kont qed tittama li żżomm proċess milli juża l-mina, dan huwa għal kollox l-għodda żbaljata u l-ebda taħlita ta' filtri mhija se tagħmel dan.

Dan il-kamp huwa utli, għax ifisser li tista' tħalli l-konfigurazzjoni tas-server u xorta tirrifjuta parti minnha lokalment. Huwa wkoll limitu li jixraqlu jiġi nnotat fit-ticket: filtru jbiddel dak li dan il-klijent jaċċetta, mhux dak li s-server joffri. M'għandu l-ebda effett fuq utenti oħra tal-istess profil. Lanqas ma jibqa' jseħħ meta tmur għal klijent ieħor li ma jimplimentax l-għażla, li jixraqlu tkun taf qabel tibni fluss tax-xogħol fuqu.

Ivverifika dak li s-server fil-fatt jibgħat qabel tikteb il-mudell. F'livell għoli ta' dettall il-klijent jistampa s-sekwenza tal-għażliet imbuttati li rċieva, u din hija l-unika sors onest għat-test eżatt li qed tqabbel miegħu:

sudo openvpn --config /etc/openvpn/corp.ovpn --verb 4
sudo grep -n 'pull-filter' /etc/openvpn/corp.ovpn

Aqra l-linja mbuttata bħala lista ta' għażliet separati b'virgoli, u innota li l-ismijiet tal-għażliet u l-argumenti tagħhom huma separati b'spazji. It-test tal-filtru tiegħek jiġi mqabbel ma' dak il-fluss, għalhekk l-ispazji huma daqshekk importanti fil-pass li jmiss.

It-tqabbil huwa prefiss, għalhekk l-ispazji jiddeterminaw kollox

It-tqabbil huwa prefiss ta' sekwenza, mhux isem ta' għażla analizzat. Għalhekk "route" jaqbel ma' route-gateway 10.8.0.1, route-ipv6 2001:db8::/32 u route-metric 100. Spazju wieħed fl-aħħar idawwarha għall-familja li x'aktarx kellek f'moħħok, u l-prefiss sħiħ idawwarha aktar għal destinazzjoni speċifika.

L-aħħar ringiela hija dik li taqbad lin-nies waqt ix-xogħol fuq mina maqsuma. Li żżomm ir-resolver tiegħek huwa għażla leġittima, u jfisser li kull isem intern issa jiddependi minn resolver li ma jistax jara ż-żona privata. Din hija konsegwenza li tiġi aċċettata apposta, mhux effett sekondarju li jinstab fil-produzzjoni.

It-tqabbil bil-prefiss ifisser ukoll li regola tista' tinfirex bil-kwiet aktar tard. Meta s-server iżid għażla ġdida li tibda bit-test tiegħek, il-filtru tiegħek jibda japplika għaliha mingħajr ma ħadd jeditja l-profil tiegħek. Dan huwa l-mod ta' falliment li għandu jiġi ddisinjat kontrih, u l-mitigazzjoni hija li tqabbel kemm jista' jkun mill-għażla, mhux kemm jista' jkun ftit.

Tliet verbi b'tliet eżiti differenti

accept, ignore u reject mhumiex tliet ortografiji tal-istess idea. Huma differenti f'dak li l-klijent jagħmel ma' tqabbil u f'jekk xi ħadd isirx jaf.

ignore jarmi l-għażla li taqbel bil-kwiet, li hija dak li trid għal setting li biddilt apposta. reject jarmiha u jġiegħel lill-klijent jilmenta, li hija dak li trid meta n-nuqqas tagħha għandu jidher f'reġistru aktar milli jinstab aktar tard. accept hija l-forma pożittiva, użata meta tibni lista ta' permessi aktar milli tneħħi għażliet individwali.

Liema verb tuża, il-filtri jiġu applikati fl-ordni li jidhru fiha, għalhekk żewġ regoli li jikkoinċidu jipproduċu riżultat dipendenti mill-ordni u diffiċli ħafna biex jiġi rivedut. Żomm regola waħda għal kull intenzjoni u poġġi l-aktar test speċifiku f'kull waħda. Jekk għandek bżonn lista ta' permessi, agħżel ftit regoli accept minflok munzell ta' regoli ignore li jammontaw għall-istess ħaġa. Imbagħad ir-reviżuri jistgħu jaqraw il-fajl minn fuq għal isfel u jbassru r-riżultat, u dan huwa l-uniku test li jiskala.

Ivverifika r-rotta u r-resolver applikati, mhux il-profil

Filtru li jidher korrett fil-fajl xorta jista' jħallik b'mina li ma tħaddimx xejn utli. Ivverifika l-effett fuq is-sistema li qed taħdem, fejn l-għażliet imbuttati diġà ġew applikati jew mormija:

ip route show default
ip route show | grep -c 'proto static'
resolvectl status | grep -A4 'Link.*tun0'
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://intranet.example.internal/

L-ewwel żewġ linji jgħidulek jekk waslitx ir-rotta default imbuttata u kemm-il dħul statiku baqa' ħaj. Il-mistoqsija lir-resolver turi liema server qed juża tabilħaqq l-interface tal-mina, u normalment hemmhekk tidher sorpriża DNS. L-aħħar linja twieġeb l-unika domanda li tinteressa lill-utent.

Ittestja ż-żewġ direzzjonijiet waqt li tkun hemm. Regola li żżomm l-internet lokali tiegħek jaħdem imma tkisser bil-kwiet ir-riżoluzzjoni tal-ismijiet interni tgħaddi minn verifika superfiċjali u tfalli fl-ewwel xogħol reali, għalhekk inkludi riżors intern wieħed u sit pubbliku wieħed fl-istess test.

Irreġistra l-eċċezzjoni u min jippossjediha

Filtru huwa eċċezzjoni għad-disinn tal-operatur, għalhekk iktebha b'raġuni u punt ta' reviżjoni. "Jinjorja rotot imbuttati biex iżżomm id-default lokali" hija reviżabbli; linja vojta fi profil mhijiex, u l-persuna li jmiss se tħassarha jew testendiha billi taqta' bl-addoċċ.

Il-verżjoni tgħodd ukoll hawn. L-imġiba tat-tqabbil u s-sintassi eżatta aċċettata ġew irfinati matul OpenVPN 2.4, 2.5 u 2.6, għalhekk ikkonferma l-mudell mal-manwal tal-build li tforni u mhux ma' post fil-forum dwar verżjoni eqdem. Il-manwal ta' OpenVPN 2.6 jiddokumenta l-għażla u r-regola tat-tqabbil tagħha.

Fl-aħħar, ftiehem l-eċċezzjoni ma' min imexxi s-server. Filtru fuq in-naħa tal-klijent li jmur kontra politika tas-server maħsuba huwa inċident ta' appoġġ li jistenna l-awditjar li jmiss, u huwa ħafna irħas li tissettiljah qabel ma joħroġ il-profil milli wara li xi ħadd jinnota li r-rotot huma neqsin.