Ittriqrotta subnet LAN waħda permezz ta’ OpenVPN u żomm il-mogħdija default
Żomm il-mogħdija default tal-LAN waqt li subnet waħda tgħaddi mit-tunnel. Qabbel tabella tal-politika ma’ modifiki fit-tabella prinċipali, imbagħad agħżel NAT jew rotta fuq in-naħa tas-server.
Il-kaxxi li jirruttjaw għal LAN u fl-istess ħin iddialjaw VPN jispiċċaw fl-istess argument ma’hom infushom: it-tunnel irid jippossjedi l-mogħdija default, u l-LAN għandha bżonnha lura. Meta OpenVPN jikkonnettja, jista’ jinstalla mogħdija default mit-tunnel jew par nofs-mogħdijiet default, li hija tajba għal laptop u ħażina għal gateway li l-ġirien tiegħu jistennew tweġibiet mill-indirizz LAN tiegħu. It-tweġiba mhix li taqbeż il-VPN. It-tweġiba hija li tagħti liż-żewġ deċiżjonijiet tabelli differenti.
Mogħdija default waħda, żewġ sidien
It-traffiku mibgħut ’il quddiem u t-traffiku li joriġina lokalment m’għandhomx għalfejn jimxu l-istess triq. Il-klijenti tal-LAN għandhom bżonn it-tunnel biss għad-destinazzjonijiet li tagħżel, filwaqt li s-sessjonijiet tal-amministrazzjoni tal-host stess u t-tweġibiet tiegħu lil dawk il-klijenti għandhom bżonn il-mogħdija default tal-LAN. It-taħlit tat-tnejn fit-tabella prinċipali jġiegħel tweġiba waħda fuq żewġ mistoqsijiet differenti.
OpenVPN għandu swiċċ apposta għal dan. route-noexec iżomm lill-klijent milli jmiss it-tabella prinċipali xejn, u l-valuri li kien juża jiġu esportati lejn skript route-up bħala route_vpn_gateway, dev u l-indirizzi tal-interface. Imbagħad inti tiddeċiedi liema tabella tirċievi liema rotta, f’kod li tista’ taqra aktar tard.
Tabella tal-politika kontra kitba mill-ġdid tal-prinċipali
| Approach | What it buys | What it costs |
|---|---|---|
| Separate table plus source rule | LAN traffic and host traffic keep independent defaults | Every lookup now depends on rule order |
| Editing the main table only | Fewer moving parts on a single-purpose host | One mistake takes the gateway offline entirely |
| Two half-default routes | Works for a full-tunnel client | Ambiguous on a host that must answer on its LAN address |
It-tabella separata hija l-unika għażla li tiskala lil hinn minn subnet waħda. Agħtiha isem darba, imbagħad irreferi għaliha bl-isem biex ħadd ma jkollu jiftakar numru:
echo "10 vpn" >> /etc/iproute2/rt_tables
ip rule add from 192.168.50.0/24 table vpn
ip route add default via 10.8.0.1 dev tun0 table vpnL-indirizzi hawn huma placeholder. Issostitwixxi l-prefiss LAN, il-gateway tat-tunnel u l-isem tal-apparat mid-deployment tiegħek qabel ma tħaddem xejn.
Ir-regola trid taqbel mal-host ukoll
Regola li taqbel biss mal-prefiss LAN tkopri l-pakketti mibgħuta ’l quddiem. Ma tkoprix it-traffiku li l-gateway stess joħloq, u lanqas it-tweġibiet li jibgħat lura lill-klijenti tal-LAN, li jġorru l-indirizz LAN tal-gateway bħala s-sors tagħhom. Dawk it-tfittxijiet jaqgħu għal main u xorta jistgħu joħorġu mit-tunnel.
Żid regola oħra għall-indirizz LAN tal-gateway stess, jew wessa’ l-ewwel regola għal sett li jinkludi t-tnejn. L-ordni hija importanti: poġġi l-regola l-aktar speċifika l-ewwel, u vverifika r-riżultat b’tfittxija li ssemmi s-sors b’mod espliċitu.
ip route get 203.0.113.9 from 192.168.50.1Jekk dan jirrapporta l-apparat tat-tunnel għal destinazzjoni li għandha tibqa’ lokali, is-sett ta’ regoli huwa żbaljat irrispettivament minn dak li fih it-tabella.
NAT jew rotta fuq in-naħa l-oħra
Is-server VPN jaf is-subnet tat-tunnel u xejn aktar. Il-pakketti li jaslu b’indirizz tas-sors LAN m’għandhomx triq lura sakemm ma jipprovdix xi ħadd waħda, u hemm eżattament żewġ modi kif tipprovdiha. Iż-żieda ta’ rotta għall-prefiss LAN fuq is-server iżżomm is-sors oriġinali viżibbli minn tarf għal tarf, li normalment tkun trid disinn ivverifikat. Il-maskerade fuq il-gateway terġa’ tikteb is-sors għall-indirizz tat-tunnel u ma teħtieġ l-ebda kooperazzjoni mis-server.
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADEAgħżel NAT meta ma tikkontrollax is-server u ma tistax iżżid rotot hemmhekk. Agħżel ir-rotta fuq in-naħa tas-server meta l-logs, il-kontroll tal-aċċess jew is-simetrija tat-triq lura huma importanti, għax il-maskerade tħassar l-indirizz oriġinali minn kull ma jirreġistra n-naħa l-oħra.
B’xi mod, l-ibbordjar irid ikun attivat, u l-filtrazzjoni stretta tat-triq inversa tista’ twarrab it-tweġiba meta main ma kienx jagħżel it-tunnel għal dak is-sors. Iċċekkja l-valur effettiv qabel ma tagħti t-tort lit-tunnel.
Agħmel il-qsim jiflaħ għal konnessjoni mill-ġdid
Regoli u rotot miżjuda bl-idejn jisparixxu meta l-interface tinħoloq mill-ġdid, u entrata antika fit-tabella tista’ tgħix aktar mis-sessjoni li ġġustifikatha. Poġġi r-regola tat-tabella, ir-rotta tat-tunnel u l-entrata tal-maskerade fl-iskript route-up tal-klijent, u żvojta t-tabella fil-bidu tal-iskript biex gateway antik ma jistax jibqa’ għaddej fis-sessjoni l-ġdida.
Ivverifika miż-żewġt itruf: tfittxija fuq il-gateway bis-sors LAN, u talba vera minn klijent LAN lejn destinazzjoni li għandha tgħaddi mit-tunnel. Rotta li teżisti iżda qatt ma tintgħażel iġġib ruħha eżattament bħallikieku ma kienx hemm rotta, sakemm taqra l-counters.