Full tunnel drap SSH-økta di: fest returruta

Start ein OpenVPN klient på maskina du arbeider på via SSH, og midt i kommandoen frys økta. Tunnelen melder at han er tilkopla, verten når internett gjennom han, og tastetrykka dine kjem framleis inn medan ingenting kjem attende. Det som endra seg er ikkje tunnelen: det er returvegen for pakkar som er adresserte til deg, som no svarar til den nye standardruta og går inn i ein tunnel som den eksterne gatewayen ikkje vil bruke for å nå skrivebordet ditt.

Kva redirect-gateway faktisk installerer

I si def1 form redirect-gateway legg han til 0.0.0.0/1 og 128.0.0.0/1 i staden for å skrive over standardruta. Dei to halvdelane dekkjer heile adresserommet, og begge blir lengre prefiks enn 0.0.0.0/0, så kvar destinasjon utan ein meir spesifikk treff går no i tunnelen. Det er mekanismen ein bør hugse, fordi kvar retting nedanfor verkar ved å installere ein meir spesifikk treff.

Administrasjonsadressa di er ein av desse destinasjonane.

VPN-tenaren videresender trafikk for klientane sine mot internett. Han har inga rute til den offentlege adressa du koplar frå, og ingen grunn til å handsame dei pakkane som anna enn trafikk som kjem frå ein klient, så han kastar dei. I mellomtida nådde førespurnaden du sende likevel verten, og difor ser økta berre levande ut frå éi side.

ip route show table main | head -n 20
ip route get 198.51.100.23

Finn kjeldeadressa di og vegen før tunnelen

På tenaren, list opp den etablerte SSH-sambandet og noter peer-adressa det kom frå. Det er den adressa returruta di må dekkje, og ho er ikkje alltid det du trur: ein hoppvert, ein NAT-gateway eller ein operatøromsetjar kan setje inn ei anna kjelde.

Finn deretter den fysiske gatewayen og grensesnittet som bar trafikken før tunnelen starta. I def1 oppsettet er standardruta framleis til stades under halvstandardane, så informasjonen er tilgjengeleg, sjølv om det å lese ein lang rutetabell med auga inviterer til feil.

Noter båe verdiane og grensesnittnamnet saman, fordi ruta du skal leggje til treng alle tre. Viss verten brukte ein policy routing-regel for å velje oppkoplinga si, blir ei vanleg rute kanskje ikkje vurdert i det heile, og den moglegheita endrar rettinga.

Fest ei vertsrute som overgår halvstandardane

Ei /32 rute er lengre enn kvar av dei to halvstandardane, så svar til adressa di vel ho framfor tunnelen. Neste hopp er gatewayen før tunnelen og eininga er det fysiske grensesnittet, noko som held pakken på vegen han brukte før tunnelen fanst.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Stadfest med eit oppslag i staden for å granske tabellen: svaret må nemne eth0 og gatewayen, aldri tun0.

OpenVPN legg alt til ei vertsrute til VPN-tenaren si eiga adresse av same grunn, så mønsteret er kjent og administrasjonsadressa er rett og slett eitt unntak til. Ikkje grip etter route-nopull for å rette dette, fordi han kastar dei pusha rutene tunnelen treng, inkludert det eksterne nettet og DNS-vala.

Gjer at ho overlever ei tilkopling på nytt

Ei rute som blir lagd til for hand forsvinn når klienten koplar til på nytt og installer si eiga, noko som gjer ei retting til eit attvendande avbrot. Knytt kommandoen til noko som køyrer etter at rutene er installerte.

Både eit route-up skript og pre-up-kroken til nettverkssjefen verkar, og den pålitelege kontrollen er ei tilkopling på nytt etterfylgd av det same oppslaget.

På Windows er ekvivalenten ei varig rute lagd til med -p, som overlever omstart, men framleis må peike på rett gateway etter ei nettverksendring. Uansett plattform, skriv årsaka ved sida av ruta: den neste administratoren må vite at ho finst for å verne ei administrasjonsøkt, ikkje fordi nettverksdesignet kravde det.

Når ei fest rute framleis ikkje er nok

Filtrering av omvend veg kan kaste ein pakke som kjem inn på eitt grensesnitt og går ut på eit anna, og det er nøyaktig det ei fest rute skapar. Sjekk den effektive rp_filter verdien før du deaktiverer noko globalt, og føretrekk å rette asymmetrien framfor å slå av kontrollen. Det er innstillinga per grensesnitt som gjeld, og loose-modus loggar ofte berre asymmetrien i staden for å kaste pakken. Les båe før du konkluderer med at filteret er di skuld.

Vertar med policy routing treng ein regel i tillegg til ei rute, fordi regelbasen vel tabellen før ruta i han blir vurdert. Ei rute i main-tabellen er usynleg for ein flyt som svarar til ein regel som peikar på ein annan tabell. Les reglane før du legg noko til main. Viss ein regel alt dekkjer administrasjonstrafikk, høyrer unntaket heime i tabellen til den regelen.

Hald ein out-of-band-konsoll open medan du testar, og sjekk på nytt frå ei anna innlogging før du koplar frå den du brukar. Ei rute som sender din eigen administrasjonstrafikk inn i tunnelen kuttar sambandet du reparerer han gjennom. Å kome inn att betyr då ein seriell konsoll eller ein redningsoppstart, som er ein dårleg handel for å hoppe over eitt verifiseringstrinn.