route-gateway mhuwiex redirect-gateway: x'jinbidel tassew
L-għażla tipprovdi biss qabża oħra lill-mogħdijiet li jinstalla OpenVPN. It-tneħħija tagħha ma titfixkilx mina sħiħa mbuttata, u t-tiswija tinsab fid-direzzjoni mill-ġdid.
Il-mina tiegħek titla', is-subnet privat iwieġeb, u l-ibbrawżjar ordinarju xorta jisparixxi fil-VPN minkejja li xi ħadd ħassar il-linja tal-gateway mill-profil. Dak it-taħlita hija l-impronta tas-swaba' tal-direttiva ħażina li ġiet editjata. Dak li tneħħa kien jagħti lill-klijent qabża oħra għall-mogħdijiet li jinstalla; dak li kompla jaqbad it-traffiku ġie minn x'imkien ieħor u ġie mbuttat mis-server. Il-kopertura u l-qabża oħra huma xogħlijiet separati, u waħda biss minnhom tiddeċiedi jekk id-destinazzjonijiet pubbliċi jużawx il-mina.
Il-linja li neħħejt kienet qabża oħra, mhux swiċċ tal-politika
Kull rotta li jinstalla l-klijent teħtieġ indirizz tal-gateway lejn fejn tindika, u d-direttiva tal-gateway hija s-sors ta' dak l-indirizz meta rotta ma ssemmix waħda hi stess. Ħassarha u dawk ir-rotot ma jkollhomx mnejn jeħlu, u għalhekk jew ma jiġux installati jew jinżlu fuq triq li ma twassal imkien. Is-subnet privat huwa eżattament dak li kienet iġġorr rotta bħal din.
Sadattant l-imġiba li baqgħet għandha awtur ieħor: għażla ta' direzzjoni mill-ġdid fil-blokka mbuttata, li ċċaqlaq it-traffiku ħiereġ ordinarju fil-mina skont il-bnadar tagħha. It-tneħħija tal-gateway la tiddiżattivaha u lanqas tiddgħajjifha. Ir-riżultat huwa l-agħar taż-żewġ stati, bit-traffiku pubbliku għadu maqbud u d-destinazzjoni privata li ġġustifikat il-mina issa mhix aċċessibbli. Għalhekk it-tieni editjar, magħmul fl-istess spirtu, lanqas ma jbiddel xejn.
Erba' lievi, erba' xogħlijiet differenti
F'din id-diskussjoni erba' direttivi jiġu kkwotati b'mod interkambjabbli, u waħda biss minnhom tirregola l-kopertura, jiġifieri liema destinazzjonijiet jgħaddu mill-mina. It-tieni tistabbilixxi l-qabża oħra li jużaw ir-rotot, it-tielet tinstalla prefiss wieħed, u r-raba' tarmi kollox li mbuttat is-server, inklużi r-rotot privati li teħtieġ l-implimentazzjoni. It-tabella tordnahom skont dak li amministratur qed jipprova jbiddel u mhux skont l-isem, għax l-ismijiet huma li jikkawżaw il-konfużjoni. Itrattahom bħala erba' deċiżjonijiet separati u agħżel dik li verament trid treġġa' lura.
Fil-prattika l-erbgħa spiss jaslu fi blokka mbuttata waħda, ringiela wara ringiela, li tagħmilhom jidhru bħala partijiet ta' setting wieħed. Mhumiex, u ir-referenza ta' OpenVPN tiddokumentahom bħala mekkaniżmi distinti proprju għalhekk. Li tiskopri liema deċiżjoni qed treġġa' lura hija x-xogħol; l-editjar huwa ringiela waħda.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Iffiltra l-linja mbuttata, żomm il-qabża li jmiss
Jekk il-kopertura li toġġezzjona għaliha tasal bħala għażla mbuttata, it-tweġiba dejqa hija li tinjora dik l-għażla bl-isem u tħalli l-bqija tal-blokka mbuttata intatta. Miktuba bħala filtru, tidher bħar-ringiela hawn taħt, u tappartjeni għall-profil tal-klijent affettwat, mhux għall-konfigurazzjoni tas-server.
pull-filter ignore "redirect-gateway"Id-dejqa hija l-punt. Peress li l-filtru jqabbel prefiss tat-test, disinn iqsar jaqbel ukoll mad-direttiva tal-qabża li jmiss, li tqaxxar eżattament l-informazzjoni li tiddependi fuqha l-mogħdijiet privati u tirrepeti l-iżball oriġinali fi lbies ġdid. Filtru jaġixxi wkoll biss fuq għażliet imbuttati, għalhekk qatt ma jmiss ringiela ekwivalenti miktuba lokalment jew imposta minn maniġer tan-netwerk. Erġa' qabbad wara, għax sessjoni ħajja ma terġax tevalwa dak li mbuttat is-server.
Aqra t-tfittxija, mhux it-tabella
Wara li terġa' tgħabbi l-profil, staqsi lill-kernel fejn verament imorru żewġ destinazzjonijiet: waħda ġewwa l-prefiss privat u oħra fuq l-internet pubbliku. Dump sħiħ tat-tabella prinċipali huwa aktar diffiċli biex tinqara u aktar faċli biex tinqara ħażin, għax rotta tista' teżisti u xorta titlef kontra qbil aktar speċifiku. Fl-indirizzar ibbażat fuq il-politika, ir-regola, it-tabella u l-indirizz tas-sors ukoll huma parti mill-verifika.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showIl-varjant def1 jistħoqqlu l-familjarità, għax iħalli d-dħul default antik viżibbli filwaqt li par nofs-defaults jirbaħ it-tfittxija. Għalhekk linja 0.0.0.0/0 fl-output ma tipprova xejn waħedha. It-tfittxija twieġeb il-mistoqsija li l-lista biss tidher li twieġeb.
DNS, IPv6 u r-rotta privata xorta jridu jaħdmu
Li tirrifjuta direzzjoni mill-ġdid waħda IPv4 ma tgħid xejn dwar is-solver, għalhekk għażla DNS imbuttata tista' tkompli tibgħat mistoqsijiet fil-mina waqt li r-rotot jidhru korretti. Default IPv6 jista' jagħmel l-istess għal familja ta' indirizzi li l-verifika IPv4 qatt ma messet. It-tnejn jeħtieġu deċiżjoni espliċita minflok suppożizzjoni. Imbagħad ikkonferma li s-servizz privat għadu jwieġeb, għax mina maqsuma li tilfet ir-rotta privata tagħha mhijiex mina maqsuma, hija waħda miksura.
Għodda waħda usa' tistħoqqlha twissija: route-nopull tarmi kull rotta mbuttata u kull għażla DNS imbuttata, li żgur twaqqaf il-mina sħiħa u daqstant żgur tkisser ir-rotot privati li tiddependi fuqhom l-implimentazzjoni, għalhekk hija martell ferm akbar minn filtru tal-isem immirat lejn għażla waħda. Iċċekkja d-destinazzjoni privata, destinazzjoni pubblika u s-solver wara kull bidla, u qis handshake komplut bħala prova ta' xejn ħlief il-handshake.