Prefiss pubbliku permezz ta’ OpenVPN: sewwi l-mogħdija lura

Araw it-tunnel jitla’ u l-klijent jagħmel ping lejn in-naħa l-oħra, u mbagħad indirizz pubbliku li jappartjeni wara l-VPN iwieġeb minn banda oħra, jew ma jwieġeb xejn. Dan is-sintomu normalment m’għandu x’jaqsam xejn maċ-ċifrar jew maċ-ċertifikati. Prefiss li jiġi mgħoddi mill-fornitur jiġi kkonsenjat bħala rotta IP, u ġġorru permezz ta’ OpenVPN ifisser li tirriproduċi dik ir-rotta fuq żewġ livelli u tippreserva l-indirizz tas-sors fuq il-mogħdija lura. L-WAN m’għandux għalfejn jiġi bbridġjat, u ż-żieda tal-indirizz ma’ interface ma toħloqx ir-rotta ‘l fuq.

Il-prefiss l-ewwel irid jiġi mgħoddi lejk

Staqsi lill-fornitur kif jiġi kkonsenjat il-blok. Prefiss mgħoddi lejn l-indirizz ewlieni tas-server tiegħek huwa ħaġa oħra mill-indirizzi li l-fornitur jistenna li jilħaq direttament fuq segment WAN. Hawnhekk taħdem biss l-ewwel mudell mad-disinn.

Jekk il-fornitur jgħaddi 198.51.100.64/28 lejn is-server tad-dħul tiegħek, il-pakketti għal dak il-firxa jaslu s-server u joqogħdu hemm sakemm ma tgħaddihomx ‘il quddiem. Jekk il-fornitur minflok ibbridġja l-firxa fuq l-uplink tiegħek, is-server irid iwieġeb ARP għaliha, li hija problema oħra.

Ittestja l-mudell tal-konsenja qabel ma tmiss OpenVPN: minn barra, ping indirizz fil-blok u ara liema interface tirċevih. Jekk ma jasal xejn, l-ebda konfigurazzjoni tat-tunnel ma tgħin. Jekk l-indirizz iwieġeb direttament fuq il-WAN, il-fornitur qed ibbridġja minflok jgħaddi, u d-disinn hawn taħt ma japplikax.

Żewġ livelli ta’ routing: rotta tal-kernel u iroute

OpenVPN jeħtieġ il-prefiss f’żewġ postijiet. Il-kernel irid ikun jaf li l-prefiss jappartjeni lill-apparat tat-tunnel, sabiex il-pakketti mgħoddija jidħlu f’OpenVPN minflok fir-rotta default. OpenVPN irid ukoll ikun jaf liema klijent awtentikat jippossjedi l-prefiss, u dik hija l-entrata iroute fid-direttorju speċifiku għall-klijent.

Ir-rotta fuq in-naħa tas-server tidher hekk, bil-prefiss u l-mask li jaqblu mal-allokazzjoni:

ip route add 198.51.100.64/28 dev tun0

Il-konfigurazzjoni speċifika għall-klijent tassenja s-sjieda. Poġġiha fil-fajl CCD imsemmi għall-isem komuni taċ-ċertifikat tal-klijent, u kkonferma li dak id-direttorju huwa dak li s-server jaqra verament:

iroute 198.51.100.64 255.255.255.240

Id-dokumentazzjoni ta’ OpenVPN dwar netwerks mgħoddija tiddeskrivi ż-żewġ livelli u għaliex huma separati. Rotta tal-kernel mingħajr iroute tibgħat pakketti fit-tunnel mingħajr sid, u OpenVPN jarmihom. iroute mingħajr ir-rotta tal-kernel iħalli l-pakketti fuq il-mogħdija default tas-server. Iż-żewġ żbalji jidhru bħal tunnel miksur min-naħa tal-klijent.

Fejn tgħix l-indirizz tas-servizz

Il-prefiss iddelegat mhuwiex l-istess bħall-indirizzi tat-tunnel innifsu. Numera l-konnessjoni mill-ispazju privat jekk trid, u poġġi l-indirizz pubbliku tas-servizz fejn is-servizz verament jaħdem.

Fuq klijent Linux li jtemm is-servizz lokalment, huwa biżżejjed indirizz wieħed tal-host:

ip address add 198.51.100.70/32 dev lo

Jekk il-prefiss jiġi mgħoddi ‘l quddiem lejn host VM jew LAN ieħor, ikkonfigura minflok dik il-mogħdija ‘l isfel u r-rotta tal-lura tagħha. L-assenjazzjoni ta’ kull indirizz fil-blok lill-klijent VPN mhijiex meħtieġa u toħloq kunflitti aktar tard.

Żomm is-sors pubbliku fuq il-mogħdija lura

Tweġiba mill-prefiss iddelegat trid toħroġ mit-tunnel u tilħaq ir-rotta tal-fornitur. Jekk il-host remot jibgħatha permezz tal-ISP tiegħu stess, l-indirizz tas-sors jidher iffalsifikat, u l-fornitur jew id-destinazzjoni jarmuha. Is-soluzzjoni hija regola bbażata fuq is-sors jew tabella ta’ routing dedikata, mhux NAT usa’. Mingħajrha, is-servizz jaħdem mill-pari tat-tunnel u jfalli minn kullimkien ieħor.

Fis-server tad-dħul, regola ta’ masquerade wiesgħa hija l-ħati tas-soltu. Terga’ tikteb is-sors pubbliku għall-indirizz ewlieni tas-server, u l-klijent qatt ma jara dak veru:

iptables -t nat -S POSTROUTING

Illimita n-NAT għall-klijenti VPN privati li jeħtieġuha u ħalli l-prefiss iddelegat mhux tradott. Imbagħad ikkonferma li s-server igħaddi l-prefiss għall-inqas, għax katina ta’ ħaddim b’ċaħda default tarmih fis-skiet.

Ivverifika ż-żewġ direzzjonijiet qabel ma tafdah

Il-verifika hija erba’ osservazzjonijiet, mhux waħda. Ikkonferma li tasal ir-rotta tal-fornitur, li l-kernel jibgħat il-prefiss fit-tunnel, li OpenVPN jattribwih lill-klijent it-tajjeb, u li t-tweġiba terġa’ lura bis-sors pubbliku intatt. Kull osservazzjoni għandha l-kmand tagħha, għalhekk falliment jindika saff u mhux id-disinn kollu. Mexxihom f’dak l-ordni wara kull bidla fil-konfigurazzjoni.

Staqsi lill-kernel liema mogħdija tieħu indirizz iddelegat, u osserva t-tunnel waqt li tkun għaddejja talba:

ip route get 198.51.100.70
sudo tcpdump -ni tun0 host 198.51.100.70

Il-filtrazzjoni tal-mogħdija inversa tista’ tħassar rotta korretta. Iċċekkja s-setting effettiv fuq it-tunnel u fuq l-uplink, u ftakar li mod strett jirrifjuta traffiku li s-sors tiegħu ma jaqbilx mal-interface li wasal minnha:

sysctl net.ipv4.conf.tun0.rp_filter net.ipv4.conf.eth0.rp_filter

Fl-aħħar, ittestja l-każ tal-falliment. Waqqaf it-tunnel u kkonferma li l-prefiss pubbliku ma jiġix imnixxi mill-uplink tas-soltu. Ir-restawr tal-VPN għandu jġib is-servizz lura mingħajr ma jwessa’ liema portijiet il-host jesponi.