Il-proxy għadu fuq l-indirizz l-antik tat-tunnel wara rikonnessjoni tal-VPN?

Rikonnessjoni tista’ tħalli lill-forwarder tiegħek marbut ma’ indirizz li t-tunnel m’għadux jippossjedi. Erba’ verifiki ordnati, konsenja numerata u talba tat-test vera.

Li terġa’ tibda l-klijent tal-VPN tipprova biss li t-tunnel reġa’ lura. Ma tgħid xejn dwar il-proxy li kien ingħata struzzjoni joħroġ minnu. Squid, tinyproxy u ħafna forwarders oħra jżommu l-indirizz sorgenti lokali li sabu waqt it-tnedija sakemm xi ħaġa ġġegħelhom jerġgħu jillowdjaw. Meta rikonnessjoni tagħti indirizz ġdid tat-tunnel, il-forwarder jew ifalli f’kull konnessjoni ħierġa, jew jibda joħroġ mir-rotta tas-soltu tiegħek.

It-tieni falliment huwa dak perikoluż: it-tunnel jaħdem, il-paġni jillowdjaw, u huwa biss l-indirizz tal-ħruġ li huwa ħażin.

Ibda mis-semmiegħ, mhux mit-tunnel

Tliet indirizzi huma involuti, u rikonnessjoni ċċaqlaq biss uħud minnhom. Is-semmiegħ huwa fejn jindika l-browser tiegħek, normalment 127.0.0.1 jew indirizz LAN, u ma jimpurtahx li t-tunnel inbidel. Is-sorgenti lokali tal-ħruġ huwa dak li l-forwarder jitlob mill-kernel juża meta jċempel il-hop li jmiss, u huwa marbut mal-apparat tat-tunnel. Il-ħruġ pubbliku huwa dak li jirreġistra server tal-web, u jista’ jkun indirizz tradott diversi hops ’il bogħod.

Tfittxija tal-IP pubbliku twieġeb biss l-aħħar mistoqsija. Ma tistax tgħidlek liema indirizz lokali forwarder għandu jorbot miegħu, għax ħruġ pubbliku wieħed jista’ jaħbi diversi sorsi interni. Aqra l-indirizz minn min jippossjedi l-konnessjoni: il-ħruġ tal-istat tal-klijent, l-interface stess, jew l-ispazju tal-ismijiet fejn jgħix it-tunnel. Li taqbad l-ewwel interface li isimha tidher bħal tunnel tagħti tweġiba ħażina hekk kif jeżisti t-tieni profil.

It-tqassim tal-kontenituri u tal-ispazji tal-ismijiet ikisser din il-preżunzjoni bil-kwiet. Forwarder fi spazju tal-ismijiet tan-netwerk wieħed ma jistax jorbot tunnel li jeżisti f’ieħor, u l-ebda ammont ta’ editjar tal-konfigurazzjoni ma jsewwi dan.

Erba’ verifiki qabel ma tedita xejn

Mexxi minnhom fl-ordni. L-ewwel verifika li tfalli hija fejn tieqaf, għax dawk ta’ wara jassumu li dawk ta’ qabel huma veri.

  1. Ikkonferma li t-tunnel użat huwa l-profil li nbnena l-proxy madwaru, mhux it-tieni profil li qabbad waħdu.
  2. Ipprintja l-indirizz li bħalissa hemm fuq dak l-apparat u qabblu mal-indirizz fil-konfigurazzjoni li qed taħdem.
  3. Staqsi lill-forwarder liema sorgenti solva, minflok dak li tiddikjara l-fajl fuq id-diska.
  4. Ikkonferma li t-traffiku mill-forwarder huwa tassew suġġett għall-politika tar-routing u tal-firewall li tistenna.

L-indirizz tal-apparat huwa faċli: ip -4 addr show dev tun0 jipprintja dak attwali, u ip -4 route get 1.1.1.1 juri liema interface l-kernel jagħżel għal dak id-destinazzjoni. Forwarder li jorbot indirizz eżatt ifalli b’ħoss qawwi meta l-indirizz jisparixxi. Forwarder li jorbot apparat, jew jaqa’ lura għas-sorgenti default, jibqa’ jaħdem u jnixxi, u dan huwa r-riżultat kwiet.

Qabbel id-dokumentazzjoni mal-verżjoni li qed tesegwixxi, mhux mal-ewwel riżultat tat-tfittxija. Id-direttiva tal-indirizz tal-ħruġ ta’ Squid hija dokumentata għal v7 u qabel, u d-dokumentazzjoni ta’ v8 tgħid b’mod ċar li d-direttiva mhijiex disponibbli hemm, għalhekk skript mibni madwarha ma jaqbiżx dak il-limitu (ara r-referenza Squid tcp_outgoing_address). Ivverifika bil-parsers tal-prodott innifsu qabel ma jerġa’ jiġi lloadjat xejn: squid -k parse jirrapporta żbalji u joħroġ mingħajr ma jmiss il-proċess li qed jaħdem.

Numera kull tunnel u warrab skambji skaduti

Rikonnessjoni hija konsenja, u l-konsenji jeħtieġu ordni. Ittikketti kull konnessjoni osservata b’counter jew timestamp li jiżdied ma’ kull stabbiliment riżultat, imbagħad iġġor dik it-tikketta fil-konfigurazzjoni kandidata. Meta t-tikketta fuq kandidat hija eqdem minn dik attwali, warrab il-kandidat minflok tapplikah, għax aġġornament bil-mod miktub għat-tunnel preċedenti xort’oħra jikteb fuq is-settings ta’ dak attwali. Għaqqad il-bursts tal-avvenimenti sabiex rabta li tteptep tipproduċi tranżizzjoni waħda minflok ħmistax.

Organizza x-xogħol f’erba’ movimenti: invalida l-istat tal-ħruġ antik, stenna li s-sid tal-konnessjoni jirrapporta t-tlestija, ibni biss il-framment immexxi, imbagħad ivverifika u attiva permezz tal-maniġer tas-servizz. Li terġa’ tiġġenera l-fajl kollu minn żewġ valuri tal-indirizz hija l-mod kif ir-restrizzjonijiet tas-semmiegħ, l-awtentikazzjoni u l-politika tad-destinazzjoni jisparixxu bil-kwiet. Irrispetta wkoll waqfien intenzjonat. Helper li jibqa’ jċempel tunnel li l-utent itfi huwa bug, mhux reżiljenza.

Is-sockets miftuħa mhux se jsegwu l-indirizz il-ġdid

Li tirrikonfigura l-forwarder ma tgħid xejn dwar konnessjonijiet li huma diġà stabbiliti. Jekk jiġu drammati jew jmutu jiddependi mill-prodott, għalhekk osserva l-imġiba minflok tassumiha.

Talba moqdija fuq socket miftuħa qabel l-iskambju għadha toħroġ mill-passa l-antika, anki meta l-konfigurazzjoni l-ġdida hija korretta. Jekk dan jgħodd, iddeċiedi b’mod espliċitu: ippermetti tieqa qasira ta’ tħattir u waqqaf milli taċċetta xogħol ġdid, jew temm is-sockets antiki u aċċetta l-iżbalji. Imbagħad ittestja b’konnessjoni friska u żomm dan ir-riżultat separat mill-verifika tat-tħattir. L-irbit mas-sorgenti lanqas mhuwa konfini tas-sigurtà. Meta t-traffiku qatt ma għandu jmiss ir-rotta tas-soltu, infurzah b’marki u regoli tal-firewall, inklużi DNS u IPv6, sabiex lload mill-ġdid li jfalli jħalli l-proxy espliċitament mitfi minflok miftuħ.

Ipprova l-ħruġ il-ġdid b’talba friska

Dak li jgħodd hija talba miftuħa wara l-attivazzjoni, mhux ping u mhux paġna li kienet diġà fil-cache. Itlob lill-proxy URL vera u aqra l-indirizz tal-ħruġ li jirrapporta t-tarf imbiegħed, imbagħad qabblu mal-ħarsa tal-klijent innifsu dwar it-tunnel meta l-fornitur jesponi waħda.

Żomm il-parsing, lload mill-ġdid u t-talba bħala kmandi separati sabiex falliment jindika pass wieħed. L-ewwel tnejn ma jbiddlu xejn meta jfallu, u huwa proprju għalhekk li jaħdmu qabel it-tnedija mill-ġdid.

squid -k parse
sudo squid -k reconfigure
curl -x http://127.0.0.1:3128 -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://example.com

Jekk lload mill-ġdid ifalli, waqqaf is-servizz u sewwi l-framment; proxy li jaqdi b’ħruġ skadut huwa agħar minn interruzzjoni qasira. Jekk lload mill-ġdid jirnexxi imma t-talba l-ġdida għadha toħroġ f’xi post mhux mistenni, erġa’ lura għall-verifika tar-routing minflok ma terġa’ tedita l-indirizzi. Irreġistra l-ġenerazzjoni tat-tunnel li kont qed tivverifika kontriha, sabiex ir-rikonnessjoni li jmiss ikollha xi ħaġa konkreta x’tqabbel.

Artikli relatati