NAT ਪਿੱਛੇ ਦਾ OpenVPN ਕਲਾਇੰਟ ਕਿਵੇਂ ਇੰਟਰਨੈਟ ਐਗਜ਼ਿਟ ਬਣਦਾ ਹੈ

ਤਿੰਨ Linux ਹੋਸਟ, ਇੱਕ ਡਿਜ਼ਾਈਨ: ਜਨਤਕ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ OpenVPN ਹੱਬ, ਇੱਕ ਲੈਪਟਾਪ ਅਤੇ ਅੰਦਰ ਕੁਝ ਵੀ ਫਾਰਵਰਡ ਨਾ ਕਰਨ ਵਾਲੇ ਆਮ ਘਰੇਲੂ ਰਾਊਟਰ ਪਿੱਛੇ ਬੈਠੀ ਇੱਕ ਐਗਜ਼ਿਟ ਮਸ਼ੀਨ। ਐਗਜ਼ਿਟ ਆਪ ਹੱਬ ਨੂੰ ਡਾਇਲ ਕਰਦਾ ਹੈ। ਫਿਰ ਗਾਹਕ ਦਾ ਇੰਟਰਨੈਟ ਟ੍ਰੈਫਿਕ ਲੈਪਟਾਪ 'ਤੇ ਟਨਲ ਵਿੱਚ ਦਾਖਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਐਗਜ਼ਿਟ ਦੇ ਆਪਣੇ ਅਪਲਿੰਕ ਰਾਹੀਂ ਬਾਹਰ ਨਿਕਲਦਾ ਹੈ। ਇਸ ਬੰਦੋਬਸਤ ਵਿੱਚ ਹੈਰਾਨ ਕਰਨ ਵਾਲੀ ਹਰ ਗੱਲ ਇੱਕ ਵੇਰਵੇ ਤੋਂ ਆਉਂਦੀ ਹੈ: ਕਨੈਕਸ਼ਨ ਐਗਜ਼ਿਟ ਨੇ ਸ਼ੁਰੂ ਕੀਤਾ, ਇਸ ਲਈ ਅੰਦਰ ਦਾ ਰਸਤਾ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਹੈ ਅਤੇ ਇਸ ਨੂੰ ਬਣਾਉਣ ਲਈ ਪੋਰਟ ਫਾਰਵਰਡਿੰਗ ਦੀ ਲੋੜ ਨਹੀਂ।

ਹੇਠਾਂ ਦਿੱਤਾ ਵੇਰਵਾ ਕਨਫਿਗਰੇਸ਼ਨ ਦੇ ਕ੍ਰਮ ਨਹੀਂ, ਪੈਕਟ ਦੇ ਰਸਤੇ ਦਾ ਪਿੱਛਾ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਕਨਫਿਗਰੇਸ਼ਨ ਦਾ ਅਰਥ ਤਾਂ ਹੀ ਹੈ ਜਦੋਂ ਪਤਾ ਹੋਵੇ ਕਿ ਕਿਹੜਾ ਹਿੱਸਾ ਕਿਹੜਾ ਫੈਸਲਾ ਲੈਂਦਾ ਹੈ। ਹਰ ਪਰਤ ਠੀਕ ਇੱਕ ਫੈਸਲਾ ਲੈਂਦੀ ਹੈ, ਅਤੇ ਗਲਤੀਆਂ ਉੱਥੇ ਇਕੱਠੀਆਂ ਹੁੰਦੀਆਂ ਹਨ ਜਿੱਥੇ ਦੋ ਪਰਤਾਂ ਨੂੰ ਇੱਕ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ।

ਦੋ ਟ੍ਰਾਂਸਪੋਰਟ ਸੈਸ਼ਨ, ਇੱਕ ਅੰਦਰੂਨੀ ਰਸਤਾ

ਹਰ ਹੋਸਟ ਹੱਬ ਨਾਲ ਆਪਣਾ ਬਾਹਰੀ ਕਨੈਕਸ਼ਨ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਦੂਜੇ ਬਾਰੇ ਨਹੀਂ ਜਾਣਦਾ। ਗਾਹਕ ਦਾ ਇੰਟਰਨੈਟ ਵੱਲ ਟ੍ਰੈਫਿਕ ਇੱਕ ਵੱਖਰਾ ਅੰਦਰੂਨੀ ਪ੍ਰਵਾਹ ਹੈ, ਜੋ ਗਾਹਕ ਦੀ ਟਨਲ ਵਿੱਚ ਢੋਇਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਫਿਰ ਐਗਜ਼ਿਟ ਦੀ ਟਨਲ ਤੋਂ ਦੁਬਾਰਾ ਬਾਹਰ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਹੱਬ ਨੂੰ ਇਹੀ ਅੰਦਰੂਨੀ ਪ੍ਰਵਾਹ ਰੂਟ ਕਰਨਾ ਹੈ, ਅਤੇ ਐਗਜ਼ਿਟ ਨੂੰ ਇਹੀ ਫਾਰਵਰਡ ਕਰਨਾ ਹੈ।

outer: consumer --TLS--> hub
outer: exit     --TLS--> hub
inner: consumer --tun--> hub --internal--> exit --tun--> uplink

ਦੋਵੇਂ ਬਾਹਰੀ ਕਨੈਕਸ਼ਨ ਕਲਾਇੰਟ ਵੱਲੋਂ ਬਾਹਰ ਜਾਂਦੇ ਹਨ, ਇਸ ਲਈ ਐਗਜ਼ਿਟ ਦਾ ਰਾਊਟਰ ਕਦੇ ਵੀ ਇਨਬਾਊਂਡ SYN ਨਹੀਂ ਦੇਖਦਾ ਅਤੇ ਕਦੇ ਵੀ ਡੈਸਟੀਨੇਸ਼ਨ NAT ਨਿਯਮ ਦੀ ਲੋੜ ਨਹੀਂ ਪੈਂਦੀ। ਇਸ ਨੂੰ ਸਿਰਫ ਸਥਾਪਿਤ ਟ੍ਰਾਂਸਪੋਰਟ ਨੂੰ ਜੀਵਤ ਰੱਖਣਾ ਹੁੰਦਾ ਹੈ, ਜੋ ਇਹ ਕਿਸੇ ਵੀ ਲੰਮੇ ਕਨੈਕਸ਼ਨ ਲਈ ਪਹਿਲਾਂ ਹੀ ਕਰਦਾ ਹੈ। ਜਨਤਕ ਇੰਟਰਨੈਟ 'ਤੇ ਕਿਸੇ ਨੂੰ ਵੀ ਪਹਿਲਾਂ ਐਗਜ਼ਿਟ ਤੱਕ ਪਹੁੰਚਣ ਦੀ ਲੋੜ ਨਹੀਂ, ਇਸ ਲਈ ਉਸ ਅਪਲਿੰਕ 'ਤੇ ਗਤੀਸ਼ੀਲ ਪਤਾ ਸਮੱਸਿਆ ਨਹੀਂ। ਰਾਊਟਰ ਨੂੰ ਫਿਰ ਵੀ ਬਾਹਰ ਜਾਣ ਵਾਲੇ ਸੈਸ਼ਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣੀ ਪੈਂਦੀ ਹੈ, ਪਰ ਉਹ ਉਹੀ ਇਜਾਜ਼ਤ ਹੈ ਜੋ ਬ੍ਰਾਊਜ਼ਰ ਪਹਿਲਾਂ ਹੀ ਵਰਤਦਾ ਹੈ।

iroute ਸਰਵਰ ਦੇ ਅੰਦਰ ਅਸਲ ਵਿੱਚ ਕੀ ਇੰਸਟਾਲ ਕਰਦਾ ਹੈ

ਹੱਬ ਹੀ ਇੱਕੋ-ਇੱਕ ਡਿਵਾਈਸ ਹੈ ਜੋ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਿਹੜਾ ਸਾਥੀ ਕਿਹੜੇ ਟਿਕਾਣੇ ਦਾ ਮਾਲਕ ਹੈ, ਅਤੇ ਇਹ ਫੈਸਲਾ ਕਰਨਲ ਵਿੱਚ ਨਹੀਂ, ਆਪਣੀ ਯੂਜ਼ਰਸਪੇਸ ਰੂਟਿੰਗ ਟੇਬਲ ਵਿੱਚ ਲੈਂਦਾ ਹੈ। ਐਗਜ਼ਿਟ ਲਈ exit-node ਨਾਮ ਦੀ client-config-dir ਐਂਟਰੀ ਉੱਥੇ ਡਿਫਾਲਟ ਪ੍ਰੀਫਿਕਸ ਦਾ ਦਾਅਵਾ ਕਰ ਸਕਦੀ ਹੈ:

# /etc/openvpn/server/ccd/exit-node
iroute 0.0.0.0 0.0.0.0

ਉਹ ਲਾਈਨ ਸਰਵਰ ਪ੍ਰੋਸੈਸ ਨੂੰ ਕਹਿੰਦੀ ਹੈ "ਕਿਸੇ ਵੀ ਟਿਕਾਣੇ ਵਾਲੇ ਅੰਦਰੂਨੀ ਪੈਕਟ ਇਸ ਕਲਾਇੰਟ ਦੇ ਹਨ"। ਇਹ ਹੱਬ ਦੇ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਵਿੱਚ ਡਿਫਾਲਟ ਰੂਟ ਨਹੀਂ ਜੋੜਦੀ ਅਤੇ ਹੱਬ ਨੂੰ ਇੰਟਰਨੈਟ ਗੇਟਵੇ ਨਹੀਂ ਬਣਾਉਂਦੀ। OpenVPN 2.6 ਹਵਾਲਾ ਕਲਾਇੰਟ-ਖਾਸ ਅੰਦਰੂਨੀ ਰੂਟਿੰਗ ਅਤੇ ਕਰਨਲ ਰੂਟਿੰਗ ਨੂੰ ਵੱਖਰੀਆਂ ਵਿਧੀਆਂ ਵਜੋਂ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਇਹੀ ਵੰਡ ਕਾਰਨ ਇਹ ਡਿਜ਼ਾਈਨ ਹੱਬ ਦੇ ਡਿਫਾਲਟ ਰੂਟ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਕੰਮ ਕਰਦਾ ਹੈ।

ਗਾਹਕ ਨੂੰ ਸ਼ੀਸ਼ੇ ਵਾਲੀ ਹਦਾਇਤ ਚਾਹੀਦੀ ਹੈ, push ਵਜੋਂ ਪਹੁੰਚਾਈ ਗਈ, ਤਾਂ ਜੋ ਉਸ ਦਾ ਆਪਣਾ ਟ੍ਰੈਫਿਕ ਸਥਾਨਕ ਗੇਟਵੇ ਰਾਹੀਂ ਬਾਹਰ ਜਾਣ ਦੀ ਬਜਾਏ ਟਨਲ ਵਿੱਚ ਦਾਖਲ ਹੋਵੇ। ਸਬਨੈੱਟ ਟੋਪੋਲੋਜੀ ਵਿੱਚ ਪੂਲ ਐਗਜ਼ਿਟ ਦੇ tun ਡਿਵਾਈਸ 'ਤੇ ਜੁੜਿਆ ਰੂਟ ਹੈ, ਇਸ ਲਈ ਵਾਪਸੀ ਦਿਸ਼ਾ ਨੂੰ ਕੋਈ ਵਾਧੂ push ਨਹੀਂ ਚਾਹੀਦਾ; ਐਗਜ਼ਿਟ ਨੂੰ ਜੋ ਨਹੀਂ ਮਿਲਣਾ ਚਾਹੀਦਾ ਉਹ ਹੇਠਾਂ ਦਿੱਤਾ ਰੀਡਾਇਰੈਕਸ਼ਨ ਹੈ, ਜੋ ਉਸ ਦੇ ਆਪਣੇ ਅਪਲਿੰਕ ਟ੍ਰੈਫਿਕ ਨੂੰ ਉਸੇ ਟਨਲ ਵਿੱਚ ਵਾਪਸ ਭੇਜ ਦੇਵੇਗਾ ਜਿਸ ਨੂੰ ਇਹ ਵਰਤਣਾ ਚਾਹੁੰਦਾ ਹੈ। ਇਸ ਨੂੰ ਸਿਰਫ ਗਾਹਕ ਨੂੰ ਭੇਜੋ ਅਤੇ CCD ਫਾਈਲ ਚੁਣੀ ਗਈ ਹੈ ਮੰਨਣ ਦੀ ਬਜਾਏ ਕਲਾਇੰਟ 'ਤੇ ਲਾਗੂ ਰੂਟ ਪੜ੍ਹੋ।

# /etc/openvpn/server/ccd/consumer-01
push "redirect-gateway def1"

ਫਾਰਵਰਡਿੰਗ ਐਗਜ਼ਿਟ ਦਾ ਕਰਨਲ ਕਰਦਾ ਹੈ

ਐਗਜ਼ਿਟ ਦੇ ਅੰਦਰ ਗਾਹਕ ਦਾ ਪੈਕਟ tun ਇੰਟਰਫੇਸ 'ਤੇ ਕਿਸੇ ਇੰਟਰਨੈਟ ਹੋਸਟ ਦੇ ਪਤੇ 'ਤੇ ਆਉਂਦਾ ਹੈ। ਕਰਨਲ ਆਪਣੀ ਰੂਟਿੰਗ ਟੇਬਲ ਦੇਖਦਾ ਹੈ, ਸਭ ਤੋਂ ਵਧੀਆ ਮੇਲ ਵਜੋਂ ਅਸਲ ਅਪਲਿੰਕ ਲੱਭਦਾ ਹੈ ਅਤੇ ਫਿਰ ਦੋ ਸੁਤੰਤਰ ਨੀਤੀਆਂ ਲਾਗੂ ਕਰਦਾ ਹੈ: ਕੀ ਇਹ ਪੈਕਟ ਬਿਲਕੁਲ ਫਾਰਵਰਡ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਕੀ ਇਹ ਉਸ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਉਸ ਸਰੋਤ ਪਤੇ ਨਾਲ ਬਾਹਰ ਜਾ ਸਕਦਾ ਹੈ। ਫਾਰਵਰਡਿੰਗ ਇੱਕ sysctl ਹੈ, ਅਤੇ ਕਈ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਡਿਫਾਲਟ ਰੂਪ ਵਿੱਚ ਬੰਦ ਹੁੰਦਾ ਹੈ।

ਇਸ ਲਈ ਐਗਜ਼ਿਟ ਨੂੰ ਲਗਾਤਾਰ ਚਾਲੂ IPv4 ਫਾਰਵਰਡਿੰਗ, ਗਾਹਕ ਦੇ ਟਨਲ ਸਰੋਤਾਂ ਨੂੰ ਅਪਲਿੰਕ ਵੱਲ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਨਿਯਮ ਅਤੇ tun ਰਾਹੀਂ ਵਾਪਸ ਜਾਣ ਵਾਲਾ ਜਵਾਬ-ਰਸਤਾ ਚਾਹੀਦਾ ਹੈ। ਪੂਰੇ ਹੋਸਟ ਲਈ ਫਾਰਵਰਡਿੰਗ ਚਾਲੂ ਕਰਨ ਨਾਲ ਇਸ ਰਾਹੀਂ ਰੂਟ ਹੋਣ ਵਾਲੀ ਹਰ ਹੋਰ ਚੀਜ਼ ਦਾ ਵਿਵਹਾਰ ਵੀ ਬਦਲਦਾ ਹੈ, ਇਸ ਲਈ ਨਿਯਮ ਨੂੰ ਸਭ ਕੁਝ ਸਵੀਕਾਰ ਕਰਨ ਦੀ ਬਜਾਏ ਸਰੋਤਾਂ ਅਤੇ ਇੰਟਰਫੇਸਾਂ ਦੇ ਨਾਮ ਦੇਣੇ ਚਾਹੀਦੇ ਹਨ।

ਵਾਪਸੀ ਦਾ ਰਸਤਾ ਸਰੋਤ ਅਨੁਵਾਦ ਖਰੀਦਦਾ ਹੈ

ਇੰਟਰਨੈਟ ਹੋਸਟ ਕੋਲ 10.90.0.x ਪਤੇ ਤੱਕ ਕੋਈ ਰੂਟ ਨਹੀਂ, ਇਸ ਲਈ ਜਵਾਬ ਐਗਜ਼ਿਟ ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਸੁੱਟ ਦਿੱਤੇ ਜਾਂਦੇ। ਪੈਕਟ ਦੇ ਅਪਲਿੰਕ ਛੱਡਦੇ ਸਮੇਂ ਸਰੋਤ ਦੁਬਾਰਾ ਲਿਖਣ ਨਾਲ ਇਹ ਹੱਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਟ੍ਰੈਕਿੰਗ ਵਾਪਸੀ 'ਤੇ ਉਸ ਮੁੜ-ਲਿਖਤ ਨੂੰ ਉਲਟ ਦਿੰਦੀ ਹੈ।

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o enp1s0 -j MASQUERADE
ip -4 route get 10.90.0.9   # run on the exit: must point at the tun

ਉੱਪਰ ਦਿੱਤਾ ਨਿਯਮ ਇੱਕ ਅਪਲਿੰਕ ਇੰਟਰਫੇਸ ਲਈ ਸ਼ੁਰੂਆਤੀ ਬਿੰਦੂ ਹੈ, ਫਾਇਰਵਾਲ ਨੀਤੀ ਨਹੀਂ। ਸਰੋਤ ਨੂੰ ਉਹਨਾਂ ਅਸਾਈਨਮੈਂਟਾਂ ਤੱਕ ਸੀਮਿਤ ਕਰੋ ਜਿਨ੍ਹਾਂ ਨੂੰ ਤੁਸੀਂ ਅਸਲ ਵਿੱਚ ਅਧਿਕਾਰ ਦਿੱਤਾ ਹੈ, ਅਤੇ ਐਗਜ਼ਿਟ ਦੀ ਆਪਣੀ ਇਨਪੁਟ ਨੀਤੀ ਵੱਖਰੀ ਰੱਖੋ ਤਾਂ ਜੋ ਟਨਲ ਟ੍ਰੈਫਿਕ ਲਈ ਮਾਸਕਰੇਡਿੰਗ ਸਥਾਨਕ ਸੇਵਾਵਾਂ ਨੂੰ ਚੁੱਪਚਾਪ ਨਾ ਖੋਲ੍ਹੇ। ਗਤੀਸ਼ੀਲ ਅਪਲਿੰਕ ਪਤੇ ਵਾਲੇ ਹੋਸਟ 'ਤੇ ਮਾਸਕਰੇਡ ਤੁਹਾਨੂੰ ਪਤਾ ਹੱਥੋਂ ਟ੍ਰੈਕ ਕਰਨ ਤੋਂ ਵੀ ਬਚਾਉਂਦਾ ਹੈ।

ਹੱਬ ਕਿੱਥੇ ਲਾਗੂ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਕਿੱਥੇ ਨਹੀਂ

client-to-client ਅਤੇ ਰਵਾਇਤੀ ਯੂਜ਼ਰਸਪੇਸ ਡੇਟਾ ਪਾਥ ਨਾਲ ਹੱਬ ਸਰਵਰ ਪ੍ਰੋਸੈਸ ਦੇ ਅੰਦਰ ਹੀ ਸਾਥੀਆਂ ਵਿਚਕਾਰ ਅੰਦਰੂਨੀ ਪੈਕਟ ਸੌਂਪਦਾ ਹੈ। ਉਹ ਕਦੇ ਵੀ ਹੱਬ ਦੇ ਕਰਨਲ FORWARD ਚੇਨ ਵਿੱਚੋਂ ਨਹੀਂ ਲੰਘਦੇ, ਇਸ ਲਈ ਉੱਥੋਂ ਦਾ ਕਰਨਲ ਨਿਯਮ ਭਾਵੇਂ ਕਿੰਨਾ ਵੀ ਸਾਵਧਾਨੀ ਨਾਲ ਲਿਖਿਆ ਹੋਵੇ, ਸਾਥੀਆਂ ਵਿਚਕਾਰ ਲੰਘਣ ਨੂੰ ਸੀਮਿਤ ਨਹੀਂ ਕਰ ਸਕਦਾ। ਲਾਗੂ ਕਰਨਾ ਸਰਵਰ ਦੀ ਆਪਣੀ ਨੀਤੀ ਵਿੱਚ ਹੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ: ਕਿਸ ਨੂੰ ਜੁੜਨ ਦੀ ਇਜਾਜ਼ਤ ਹੈ, ਉਸ ਨੂੰ ਕਿਹੜੀ CCD ਫਾਈਲ ਮਿਲਦੀ ਹੈ ਅਤੇ ਐਗਜ਼ਿਟ ਦੀ ਡਿਫਾਲਟ ਮਾਲਕੀ ਬਿਲਕੁਲ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਨਹੀਂ।

ਇਸੇ ਲਈ ਡਿਫਾਲਟ iroute ਵਿਸ਼ਾਲ ਭਰੋਸੇ ਦਾ ਫੈਸਲਾ ਹੈ। ਐਗਜ਼ਿਟ ਨੂੰ ਮਨਮਾਨੇ ਇੰਟਰਨੈਟ ਪਤਿਆਂ ਤੋਂ ਵਾਪਸੀ ਟ੍ਰੈਫਿਕ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਸਵੀਕਾਰ ਕਰਨਾ ਪੈਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਉਹ ਮਸ਼ੀਨ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਨਿਯੰਤਰਿਤ, ਪੈਚ ਅਤੇ ਨਿਗਰਾਨੀ ਕਰਦੇ ਹੋ। ਉਹੀ ਮਾਲਕੀ ਅਜਿਹੇ ਸਾਥੀ ਨੂੰ ਦੇਣਾ, ਜਿਸ ਨੂੰ ਤੁਸੀਂ ਰਾਊਟਰ ਨਾ ਸੌਂਪੋ ਉਹੀ ਗਲਤੀ ਹੈ ਜਿਸ ਵੱਲ ਇਹ ਡਿਜ਼ਾਈਨ ਸੱਦਾ ਦਿੰਦਾ ਹੈ।

ਮੈਂਬਰਸ਼ਿਪ ਹੀ ਅਸਲ ਨਿਯੰਤਰਣ ਹੈ। ਜੋ ਵੀ ਕਲਾਇੰਟ ਆਪਣੇ ਰੂਟ ਕਨਫਿਗਰ ਕਰ ਸਕਦਾ ਹੈ, ਉਹ ਐਗਜ਼ਿਟ ਵਰਤਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਇਹ ਸੀਮਿਤ ਕਰਨਾ ਕਿ ਕੌਣ ਜੁੜ ਸਕਦਾ ਹੈ ਜਾਂ ਐਗਜ਼ਿਟ ਕਿਹੜੇ ਸਾਥੀਆਂ ਦੀ ਸੇਵਾ ਕਰੇਗਾ, ਡਿਜ਼ਾਈਨ ਦਾ ਹਿੱਸਾ ਹੈ, ਬਾਅਦ ਦਾ ਵਿਚਾਰ ਨਹੀਂ।

ਐਗਜ਼ਿਟ ਗਾਇਬ ਹੋਣ 'ਤੇ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਅਸਫਲ ਹੋਣਾ

ਐਗਜ਼ਿਟ ਆਫਲਾਈਨ ਕਰੋ ਅਤੇ ਅੰਦਰੂਨੀ ਡਿਫਾਲਟ ਮਾਲਕੀ ਇਸ ਦੇ ਸੈਸ਼ਨ ਨਾਲ ਹੀ ਗਾਇਬ ਹੋ ਜਾਂਦੀ ਹੈ। ਜੋ ਨਹੀਂ ਹੋਣਾ ਚਾਹੀਦਾ ਉਹ ਇਹ ਹੈ ਕਿ ਹੱਬ ਚੁੱਪਚਾਪ ਬਦਲਵਾਂ ਐਗਜ਼ਿਟ ਬਣ ਜਾਵੇ: VPN ਪੂਲ ਤੋਂ ਹੱਬ ਦੇ ਅਪਲਿੰਕ ਤੱਕ ਕੋਈ ਡਿਫਾਲਟ ਰੂਟ ਨਹੀਂ, ਅਤੇ ਹੱਬ 'ਤੇ ਕੋਈ ਵਿਸ਼ਾਲ ਮਾਸਕਰੇਡ ਨਿਯਮ ਨਹੀਂ ਜੋ ਉਹੀ ਟ੍ਰੈਫਿਕ ਖੁਸ਼ੀ ਨਾਲ ਫਾਰਵਰਡ ਕਰ ਦੇਵੇ। ਉਸ ਅਸਫਲਤਾ ਨੂੰ ਜਾਣਬੁੱਝ ਕੇ ਪਰਖੋ, ਫਿਰ ਪਹਿਲਾਂ ਹੀ ਖੁੱਲ੍ਹੇ ਪੇਜ ਦੀ ਬਜਾਏ ਨਵੇਂ ਪ੍ਰਵਾਹ ਨਾਲ ਬਹਾਲੀ ਪਰਖੋ।

# on the consumer, with the exit up and then down
ip -4 route get 1.1.1.1
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com

ਐਗਜ਼ਿਟ ਜਾਣ ਤੋਂ ਬਾਅਦ ਵੀ ਜੇ ਗਾਹਕ ਦਾ ਟ੍ਰੈਫਿਕ ਇੰਟਰਨੈਟ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਤਾਂ ਕੁਝ ਹੋਰ ਇਸ ਨੂੰ ਢੋ ਰਿਹਾ ਹੈ ਅਤੇ ਤੁਹਾਡੀ ਲੋੜੀਂਦੀ ਸੀਮਾ ਮੌਜੂਦ ਨਹੀਂ। DNS ਅਤੇ IPv6 ਨੂੰ ਵੀ ਵੱਖਰੇ ਫੈਸਲੇ ਮੰਨੋ: IPv4 ਰੂਟ ਅਤੇ ਮਾਸਕਰੇਡ AAAA ਟ੍ਰੈਫਿਕ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦੇ, ਅਤੇ ਹੱਬ ਵੱਲੋਂ ਭੇਜਿਆ ਰਿਜ਼ੌਲਵਰ ਉੱਥੋਂ ਹੀ ਜਵਾਬ ਦੇਵੇਗਾ ਜਿੱਥੋਂ ਕਿਊਰੀ ਅਸਲ ਵਿੱਚ ਨਿਕਲਦੀ ਹੈ।