Ħruġ separat: pool VPN fuq usb0, traffiku tal-gateway fuq eth0

Il-klijenti jikkonnettjaw u jawtentikaw, imbagħad it-traffiku tagħhom joħroġ mill-link ta' fuq ħażin, għax l-unika rotta default fuq il-magna hija tal-gateway innifsu. Li tissostitwixxi dik ir-rotta default tkisser l-aġġornamenti tal-magna stess u l-aċċess għall-amministrazzjoni, għalhekk l-għażla trid tkun idjaq minn «it-traffiku kollu». Il-forma li taħdem hija regola ta' politika bbażata fuq l-indirizz tas-sors intern tal-pool tal-klijenti, li tindika lejn it-tieni tabella ta' routjar li tippossjedi l-WAN alternattiv. Minn hemm 'l quddiem il-lista ta' verifika hija dwar il-kompletezza u l-imġiba fil-falliment, mhux dwar ir-regola nnifisha.

Ivverifika li l-indirizz tas-sors jibqa' sal-deċiżjoni tar-routjar

Regola ta' politika li taqbel ma' firxa tas-sors tinxtegħel biss meta l-pakkett ikun għadu jġorr dak is-sors fil-mument tat-tiftix. It-traffiku tal-klijenti mibgħut jagħmel hekk, sakemm xejn aktar 'il fuq ma jkun kitbu mill-ġdid qabel ir-routjar. It-traffiku li l-gateway innifsu jiġġenera ma jagħmilx hekk, u proprju għalhekk ir-rotta default tal-gateway tista' tibqa' fejn hi.

Hawnhekk it-testijiet lokali jqarrqu. curl li jitmexxa fuq il-gateway huwa fluss iġġenerat lokalment bl-indirizz tal-gateway, għalhekk jieħu t-tabella prinċipali u ma jipprova xejn dwar il-mogħdija tal-klijent. Iċċekkja minn klijent konness, jew iġġenera traffiku b'sors li tassew jappartjeni lill-pool.

Ibda billi tikteb il-valuri reali: il-prefiss tal-pool, l-interface tat-tunnel li jġorrha, l-indirizz u l-hop li jmiss tat-tieni WAN, u n-numru tat-tabella li biħsiebek tuża. Naddaf ir-regoli qodma minn kull attentat preċedenti qabel ma żżid oħrajn ġodda, għax regoli duplikati b'prijoritajiet differenti jipproduċu fallimenti li jidhru każwali.

Ibni tabella magħżula li hija sħiħa

Tabella mhix rotta default ma' ħabib. Għandha bżonn biżżejjed rotot li kull tiftix jiġi solvut ġo fiha, inkluża r-rotta konnessa għas-subnet WAN sabiex il-hop li jmiss ikun jintlaħaq. Għal pool 10.77.0.0/24 fuq tun1, indirizz WAN 203.0.113.20/24 b'hop li jmiss 203.0.113.1, u tabella 600:

ip -4 route replace 203.0.113.0/24 dev usb0 src 203.0.113.20 table 600
ip -4 route replace 10.77.0.0/24 dev tun1 table 600
ip -4 route replace default via 203.0.113.1 dev usb0 table 600
ip -4 rule add priority 1500 from 10.77.0.0/24 lookup 600

Ir-regola tinsab fi prijorità taħt kull regola eżistenti li taqbad kollox, għalhekk il-klijenti li jaqblu jolqtu t-tabella 600 l-ewwel u kollox ieħor jaqa' fit-tabella prinċipali. Ir-referenza tal-ip-rule tiddeskrivi bis-sħiħ il-mudell tat-tiftix ordnat u s-sintassi tas-selettur.

Imbagħad aħseb dwar x'ma fihx it-tabella. Destinazzjoni li għandha rotta biss fit-tabella prinċipali, bħal subnet tal-amministrazzjoni li tintlaħaq permezz ta' eth0, mhux se tinstab fit-tabella 600 u mhix se taqa' lura għall-prinċipali ladarba hemmhekk tkun teżisti rotta default. Jekk dawk il-mogħdijiet huma importanti, żidhom b'mod espliċitu mat-tabella magħżula, li normalment hija t-tweġiba t-tajba għal tabella tal-ħruġ VPN.

Żomm it-traffiku tal-uditur innifsu barra mill-politika

L-uditur tal-OpenVPN għandu konnessjoni esterna tiegħu, miġjuba fuq il-link ta' fuq li bih il-klijent wasal għalih. Dak it-traffiku għandu jżomm il-mogħdija lura li biha wasal, u regola wiesgħa li tkopri l-indirizz pubbliku tas-server jew l-interface kollu tat-tunnel tista' tiġbedha fit-tabella alternattiva. Illimita r-regola għall-pool intern u għal xejn ieħor.

Il-filtrazzjoni tal-mogħdija inversa tesħaq daqqa t'għajn għall-istess raġuni. Meta t-tweġibiet lill-klijenti joħorġu minn usb0 waqt li t-talba waslet minn link ieħor, settjar rp_filter strett jista' jwarrab pakketti li l-politika tar-routjar tqishom validi. Iċċekkja l-valuri sysctl effettivi fuq iż-żewġ interfaces qabel ma tikkonkludi li r-regola falliet.

L-ordni hija importanti wkoll fir-rigward ta' kull ħaġa oħra fuq il-magna. Il-pontijiet Docker, it-tieni VPN u kull regola li diġà teżisti minn image tal-fornitur kollha jżidu prijoritajiet, għalhekk aqra l-lista sħiħa tar-regoli minflok ma tassumi li l-prijorità 100 hija waħidha.

Agħmel il-forwarding u t-traduzzjoni jaqblu mar-rotta

Ir-routjar jagħżel link ta' fuq; ma jagħtix permess biex tkompli tgħaddi. Il-kernel irid ikollu l-forwarding IPv4 mixgħul, u l-firewall irid jaċċetta d-direzzjoni mill-klijent għall-WAN u t-traffiku tar-ritorn. Tabella korretta b'katina FORWARD li twarrab il-fluss tipproduċi l-istess sintomu bħal rotta nieqsa, u għalhekk it-tnejn jiġu ċċekkjati fl-istess pass.

Jekk it-tieni WAN ma jirroutjax pool privat lura lejk, ittraduċi s-sors fuq dak il-ħruġ. Għal interface b'indirizz dinamiku, l-għażla tas-soltu hija regola masquerade dejqa limitata għall-pool u l-interface:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -o usb0 -j MASQUERADE

Hawn l-ambitu huwa aktar importanti mill-mira. Regola masquerade li taqbel ma' kull interface tal-ħruġ se terġa' tikteb ukoll traffiku li joħroġ b'mod korrett minn eth0, u dan jaħbi l-iżbalji tar-routjar minflok ma jsewwihom. It-traduzzjoni taħdem wara d-deċiżjoni tar-routjar, għalhekk qatt ma tista' ssewwi pakkett mibgħut lill-link ta' fuq ħażin.

L-overhead tat-tunnel ukoll jeħtieġ attenzjoni ladarba l-mogħdijiet ikunu differenti. Jekk il-klijenti jinnegozjaw MSS TCP kbir u l-WAN alternattiv għandu MTU aktar baxx jew tunnel ġo fih, segmenti kbar jieqfu waqt li ż-żgħar jaħdmu. L-irbit tal-MSS fil-mogħdija tal-forwarding jagħmel dan imġiba prevedibbli minflok waqfa intermittenti.

Iddeċiedi x'jiġri meta usb0 jisparixxi

Tabella vojta mhix stat li tagħlaq fil-falliment. Jekk ir-rotta li taqbel tisparixxi, it-tiftix ikompli għar-regola li jmiss, jasal għat-tabella prinċipali u jieħu r-rotta default tal-eth0. It-traffiku li kellu joħroġ mit-tieni WAN joħroġ bilkwiet mill-ewwel wieħed, u f'implimentazzjoni bir-routjar skont il-politika dan normalment huwa r-riżultat li trid l-inqas.

Fejn dan il-waqgħa lura mhuwiex aċċettabbli, żid rotta terminali espliċita fit-tabella 600, bħal rotta default blackhole, jew warrab il-pool fil-firewall waqt li l-interface tkun mitfija. Kull waħda miż-żewġ għażliet hija deċiżjoni li tista' tikteb; is-skiet mhuwiex.

Il-persistenza hija l-aħħar punt. Min ikollu ż-żewġ links, kemm jekk huwa l-maniġer tan-netwerk, skript tad-dispatcher jew iċ-ċiklu tal-ħajja tal-konnessjoni, irid joħloq mill-ġdid ir-rotot u r-regola f'kull rikonnessjoni mingħajr ma jżid duplikati. Ivverifika b'talba minn klijent reali u talba separata mill-gateway, ikkonferma l-ħruġ osservat fit-tnejn, imbagħad iġbed it-tieni WAN u ara liema miż-żewġ riżultati li ddisinjajt tassew jiġri. IPv6 jeħtieġ tabella, regola u traduzzjoni tiegħu stess; ir-regola IPv4 hawn fuq ma tgħid xejn dwaru.