Tidderieġi klijenti OpenVPN permezz ta' Cloudflare? Iċċekkja l-ewwel ir-rwol
Klijent ta' apparat mhuwiex router. Ikkonferma li r-rwol ta' Cloudflare jgħaddi l-pakketti ta' hosts oħra, imbagħad żomm it-tunnel tal-server stess fuq il-mogħdija l-qadima tiegħu.
Għandek OpenVPN server li jaħdem u host li jmexxi wkoll is-software tal-apparat ta' Cloudflare, u l-pass li jmiss li jidher ovvju jidher bħala li tidderieġi t-traffiku tal-klijenti lejh. Żewġ konnessjonijiet li jaħdmu fuq magna waħda ma jagħmlux gateway tat-transitu. Li jonqos huwa rwol dokumentat biex jgħaddi pakketti li jappartjenu lil xi ħadd ieħor, u politika li tikklassifika dawk il-pakketti meta jaslu.
Qabel kull regola jiġu erba' mistoqsijiet: liema traffiku jidħol, fejn imur wara, kif it-tweġibiet isibu triqthom lura, u x'jagħmel id-disinn meta dik it-tieni mogħdija tfalli. L-ewwel tnejn huma mistoqsijiet ta' kapaċità.
Żewġ servizzi fuq host wieħed mhumiex mogħdija tat-transitu
Klijent ta' apparat huwa mibni biex jimmaniġġja traffiku li joriġina fuq il-magna fejn jaħdem. Dan jinterċetta r-riżoluzzjoni tal-ismijiet, jew traffiku magħżul tal-applikazzjonijiet, u jibgħatu permezz tat-tunnel tiegħu stess, u l-politika tiegħu hija miktuba għall-utent ta' dak l-apparat u għall-proċessi ta' dak l-apparat. Pakkett imqassam minn klijent OpenVPN mhuwiex output lokali, għalhekk l-istess regoli ma jikklassifikawhx. Din mhijiex dettall tal-konfigurazzjoni li tista' tgħattiha b'regola usa', għaliex tiddetermina jekk is-software jarax il-pakkett xejn.
Għalhekk il-mistoqsija tad-disinn hija mistoqsija ta' kapaċità. Jew il-prodott installat għandu rwol dokumentat li jgħaddi traffiku għal netwerks oħra, jew il-funzjoni tat-transitu tappartjeni għal post ieħor għal kollox.
Liema rwol ta' Cloudflare jista' jgħaddi
Il-klijent tal-apparat ta' Cloudflare joffri modi li jvarjaw fl-ambitu: riżoluzzjoni tal-ismijiet biss, traffiku mill-apparat, u xi kultant it-tnejn. L-ebda wieħed minn dawn il-modi ma jagħmel lill-host router għal firxa privata li tasal permezz ta' tunnel ieħor. Ir-rwol tad-direzzjonament dedikat huwa prodott separat bil-konnettur, ir-reġistrazzjoni u l-mudell tan-netwerk tiegħu stess.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Iċċekkja r-rwol installat qabel ma tiddisinja rotot madwaru. Aqra liema interface joħloq il-konnettur, jekk jħabbrux prefissi speċifiċi jew rotta awtomatika, u jekk il-politika lokali tapplikax għall-pakketti mqassma kif ukoll għal dawk lokali. Jekk jiġi mmaniġġjat biss traffiku lokali, is-server OpenVPN ma jistax ikun il-punt tat-transitu, tkun kif tkun miktuba r-regola tat-traduzzjoni.
Hawn ukoll ir-rekwiżit tal-ħruġ pubbliku għandu jkun ifformulat b'mod preċiż. Il-ħruġ li Cloudflare tipprovdi għat-traffiku tal-klijenti mqassam huwa każ ta' użu speċifiku, u jeħtieġ li jiġi kkonfermat kontra s-servizz li tassew għandek.
Żomm it-tunnel ta' barra indipendenti mir-rotta l-ġdida
Fil-mument li żżid rotta awtomatika lejn l-interface l-ġdida, it-traffiku ħiereġ tas-server stess jibda jikkompeti għaliha, u dan jinkludi t-tweġibiet lill-klijenti OpenVPN u s-sessjoni SSH tiegħek lejn il-magna. Is-sintomu tas-soltu huwa tunnel li jistabbilixxi ruħu u mbagħad imut, jew amministratur imsakkar barra waqt li l-bidla tidher li ħadmet. Qabbel ip route get għall-punt tat-tmiem qabel u wara, u uża direzzjonament ibbażat fuq il-politika jew rotta tal-host biex iżżomm it-trasport tas-server stess fejn kien. Mexxi dak it-tqabbil mill-magna stess, għaliex il-veduta tas-server dwar ir-rotta tiegħu hija dik li timporta.
Eċċezzjoni għall-indirizz pubbliku tas-server mhijiex biżżejjed waħedha, għaliex il-mogħdija lura ta' kull amministratur mill-bogħod hija fluss differenti. Iddeċiedi liema minn dawk il-flussi għandhom jgħaddu mill-bidla, imbagħad ivverifika kull wieħed minflok ma tassumi li l-ewwel ikopri l-bqija.
Illimita l-qsim u t-traduzzjoni għal fluss wieħed
Il-pakketti riċevuti jsegwu l-mogħdija tal-qsim, mhux il-mogħdija tal-output lokali, għalhekk ir-regola li timporta tgħix fil-qarma forward. Fejn l-interface li jmiss teħtieġ traduzzjoni, illimita s-sors għall-pool tal-klijenti, id-destinazzjoni għal dak li huwa permess u l-ħruġ għal dik l-interface waħda. Regola masquerade marbuta biss ma' interface ma tagħżel l-ebda rotta waħedha u ma tippermettix qsim minn kwalunkwe filtru ieħor.
Iddeċiedi l-imġiba tal-għeluq meta jfalli bil-quddiem, imbagħad ittestjaha. Waqqaf il-mogħdija li jmiss u kkonferma li l-klijenti jitilfu l-ħruġ maħsub minflok ma jaqgħu lura bil-kwiet għall-uplink tas-soltu, għaliex dan huwa r-riżultat li ħadd ma jinnota qabel ma t-traffiku jibda joħroġ mill-bieb żbaljat. Errepeti l-verifika għar-riżoluzzjoni tal-ismijiet u għal IPv6, għaliex sett ta' regoli biss għal v4 iħalli mogħdija v6 miftuħa.
Ikteb l-erba' tweġibiet li ftehimt fuqhom u l-osservazzjoni li turi kull waħda. Mogħdija tat-transitu li tista' tiddeskrivi hija waħda li tista' tiddefendi fir-reviżjoni tal-inċidenti li jmiss.