Hald på private ruter og slepp omdirigeringa: OpenVPN delt tunnel

Tunnelen kjem opp, programmet lastar, og då byrjar alt anna på laptopen å oppføra seg merkeleg. Det er den vanlege forma for ein politikk berre for private nettverk, sett i verk ved å sletta éi line. Å fjerna ei skyvd standardrute endrar riktignok kvar trafikken går, men ho seier ikkje kvar trafikken skal gå i staden, og ho rører ikkje namneoppslag i det heile. Ein politikk treng to positive helar før han kan testast.

Å sletta omdirigeringa er berre halve endringa

Ei omdirigering av heile tunnelen og ein politikk berre for private nettverk skil seg i kva dei hevdar om verda. Omdirigeringa gjer krav på kvar destinasjon, medan den private politikken gjer krav på ei liste og lèt resten vera i fred. Å sletta kravet utan å skriva lista gjev ein klient som ikkje når noko utanfor LAN-et, noko som ser ut som ein rute feil snarare enn eit hol i politikken. Skriv lista før du fjernar kravet, og då sluttar rekkjefølgja av dei to trinna å ha noko å seia.

Båe helane er krav og ikkje standardverdiar. Private prefiks må inn i tunnelen, og vanlege destinasjonar må halda på vegen dei hadde før tilkoblinga.

Viss ein organisasjon pålegg full tunnel, gjeld ingenting av dette. Designet berre for private nettverk høyrer til utrullingar der delt ruting er godkjend.

pull-filter er eit treff, ikkje ein brytar

Direktivet pull-filter fjernar skyvde alternativ der namna samsvarar med eit prefiks, og det er alt det gjer. Å ignorera omdirigeringa lèt kvart anna skyvd alternativ verta ståande, noko som vanlegvis er det du vil: ruter, DNS-innstillingar og verdien for rute-gateway kjem framleis fram. Det kan heller ikkje fjerna eit direktiv som er skrive i den lokale profilen, fordi filtrering gjeld det serveren skyv.

Motstå freistinga til å ignorera kvart alternativ som byrjar med route. Det mønsteret kastar òg dei private rutene tilkoblinga treng, og det kan missa gateway-informasjon som tunnelen er avhengig av.

route-nopull er eit breiare vedtak enn det ser ut som. Det hindrar klienten i å godta skyvde ruter og DHCP-liknande alternativ som ei gruppe, noko som er ein annan politikk enn å filtrera bort eitt alternativ.

Skriv rutilista frå programmet og utover

Byrja med det brukaren faktisk opnar, og legg så til støttedelane. Eit program på 10.60.20.15 inneber subnettet 10.60.0.0/16, og eit privat namn inneber resolvaren som svarar på det. Ein brukar som bad om eitt program treng difor to destinasjonar og eitt DNS-vedtak. Alt utanfor den lista er utanfor omfanget av konstruksjon, og det er det som held politikken gjennomgåeleg.

På ein samarbeidande server vert dei to skyvde ruter, og ingen av dei er ei omdirigering. Hald på tunnel-topologien og verdiane for rute-gateway som den eksisterande tenesta leverer.

Når berre nokre brukarar treng denne politikken, bruk han per klient eller per gruppe. Å endra rutinga til alle for å fiksa kravet til eitt team er måten ein delt tunnel vert eit avbrot.

Lat DNS fylgja same veg

Ei rute til resolvaren er ikkje ein resolvar-politikk. På ein systemd-resolved-klient er det semantiske resultatet eit rutingsdomene for det private namnerommet som peikar på den interne resolvaren, og det er det som gjer at berre dei namna brukar han. Ein Windows-klient treng i staden sin eigen mekanisme for namneromspolitikk. Ei DNS-serverline i profilen installerar ingen av delane av seg sjølv.

Kontroller kva operativsystemet valde i staden for kva profilen bad om. På Linux viser resolvectl status domenet og serveren per kopling; på Windows er namneromspolitikk-tabellen det tilsvarande provet.

Hald resolvaren tilgjengeleg gjennom tunnelen, elles peikar politikken på ei adresse som ikkje kan spørjast. Ei resolveradresse som tunnelen ikkje når, gjer ein fungerande politikk til eit tidsavbrot.

Stadfest båe helane ved ei ny tilkobling

Kopla klienten til på nytt etter endringa og gransk den effektive ruta til ei privat og til ei offentleg adresse. Slå deretter opp eit privat namn og eit offentleg namn og stadfest at kvar av dei brukte den tiltenkte resolvaren. At ein offentleg nettstad lastar, provar berre den andre hela, og det er den hela som vanlegvis verkar ved eit uhell.

Noter den ferdige politikken i éi setning: desse prefiksa og namna brukar denne tilkoblinga, alt anna fylgjer den lokale vegen. Hald han deretter i profilen i staden for å reparera adapterinnstillingar etter kvar pålogging.