Żewġ bwieb tan-netwerk, VPN waħda: għaliex OpenVPN jagħżel il-link ta' fuq żbaljat

Żewġ links ta' fuq, tunnel wieħed, u t-traffiku joħroġ minn dak li ma għażiltx. Is-subnets privati huma aċċessibbli, il-log jirrapporta konnessjoni b'suċċess, u huwa l-link mitluba bin-numru li qed iġorrha. Xejn fl-output ta' OpenVPN ma jsemmi gateway, għax il-klijent qatt ma għażel waħda. Fetaħ socket lejn indirizz remot u ħalla lill-qalba tiddeċiedi kif tasal għal dak l-indirizz.

L-indirizz tat-tunnel mhuwiex il-punt tat-tmiem

F'kull sessjoni jeżistu żewġ mogħdijiet differenti. Il-mogħdija ta' barra ġġorr it-trasport encrypted sal-indirizz pubbliku tas-server. Il-mogħdija ta' ġewwa ġġorr kull ma s-server jagħfas fit-tunnel, u r-regoli tar-routing ta' waħda m'għandhom l-ebda effett fuq l-oħra.

Id-dħul remote fil-profil isemmi d-destinazzjoni ta' barra, allura dak huwa l-indirizz li għandu jiġi ffissat. Huwa wkoll il-valur li jinbidel meta isem tal-host jiġi riżolt b'mod differenti jew il-profil jelenka diversi remote.

Sib l-indirizz li l-klijent tassew sejjaħ

Aqra s-socket ħaj minflok il-fajl tal-konfigurazzjoni. It-tabella tas-sockets turi l-pari li l-proċess tassew qabbad miegħu, u dak huwa l-valur li l-eċċezzjoni trid taqbel miegħu. Il-profil jista' jiġi editjat wara li tibda s-sessjoni, u s-socket hija l-unika prova ta' dak li nsejjaħ:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Il-linja tal-log isemmi l-indirizz u l-port tal-pari fil-ħin tal-konnessjoni. Jekk ma taqbilx mal-profil, xi ħaġa quddiem il-klijent qed terġa' tikteb id-destinazzjoni qabel ma tibda l-konnessjoni.

Iċċekkja wkoll il-familja tal-indirizzi. Profil b'żewġ stacks jista' jinqabad permezz ta' IPv6 waqt li l-eċċezzjoni tiegħek tkopri biss IPv4, u mbagħad it-traffiku jsegwi regola differenti minn dik li ktibt. L-istess jgħodd għal proxy li jwieġeb f'isem il-punt tat-tmiem. Iż-żewġ każijiet jipproduċu tunnel li jaħdem waqt li r-rotta tiegħek ma tagħmel xejn.

Iffissa l-punt tat-tmiem u aqra l-ordni tal-politika

Rotta tal-host hija aktar speċifika minn kwalunkwe rotta default. Għalhekk /32 għall-indirizz tal-pari tirbaħ fit-tabella li tħaddanha. Il-forma tas-soltu tisemmi l-gateway u l-apparat b'mod espliċitu:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Dik ir-rotta tgħin biss jekk it-tiftixa tasal għal dik it-tabella. Ir-regoli tal-politika jiġu evalwati fl-ordni u l-ewwel qbil jiddeċiedi, għalhekk regola li tibgħat kollox għal tabella oħra tgħaddi minn rotta tal-host tiegħek f'main. Aqra r-regoli qabel ma tassumi li r-rotta hija awtorevoli:

ip rule show
ip route get 203.0.113.40

Staqsi t-tieni kmand bl-istess indirizz tas-sors jew marka li juża l-klijent meta l-politika tiddependi minnhom. Dan jirrapporta r-rotta li l-qalba tagħżel, li hija prova dwar it-tiftixa u mhux prova li s-socket ħaj qed juża dik il-mogħdija.

Meta l-punt tat-tmiem jiċċaqlaq

Isem tal-host li jiġi riżolt f'diversi indirizzi jħassar /32 permanenti hekk kif tinbidel it-tweġiba. Profil b'diversi linji remote għandu l-istess problema, għax il-klijent jista' jinżel fuq kwalunkwe waħda minnhom. Aġġorna r-rotta mill-hooks taċ-ċiklu tal-ħajja tal-klijent stess minflok ma żżidha bl-idejn. Skript up li jaqra l-pari nnegozjat u jinstalla r-rotta tal-host iżomm l-eċċezzjoni allinjata mar-realtà, u skript down li jaqbel ma' dan ineħħiha.

Irreġistra l-aġġornament fl-istess post bħall-bqija tal-konfigurazzjoni tar-routing tal-host. Rotta li teżisti biss sat-tieni reboot hija test, mhux tiswija.

Żomm il-politika interna separata

Li ċċaqlaq il-mogħdija ta' barra ma jagħtix aċċess għal subnet privat ġdid u ma jbiddilx liema destinazzjonijiet is-server jagħfas fit-tunnel. Ir-rotta tas-saff t'isfel tagħżel il-wajer; ir-rotot imbuttati jagħżlu x'jidħol fit-tunnel. Li żżomm dawn iż-żewġ deċiżjonijiet separati huwa dak li jagħmel id-diviżjoni prevedibbli.

Jekk l-għan huwa biss li żżomm it-trasport encrypted 'il bogħod minn link mitluba bin-numru, ħalli r-rotta default u żid l-unika eċċezzjoni tal-host. Li tissostitwixxi r-rotta default tal-magna kollha biex iċċaqlaq konnessjoni VPN waħda tkisser kull applikazzjoni oħra fuq il-host.

Ikkonferma r-riżultat b'żewġ osservazzjonijiet indipendenti: l-indirizz lokali u l-apparat tas-socket, u r-rotta li fiha tiġi riżolta d-destinazzjoni privata. Meta t-tnejn jaqblu mal-intenzjoni tiegħek, id-diviżjoni hija reali. Il-manwal ta' OpenVPN 2.6 ikopri l-għażliet remote u tal-irbit lokali li jiddeċiedu liema indirizz il-klijent idialja.