ولې د بشپړ تونل لار هغه سرور قطع کوي چې دا یې وړي

بشپړ تونل فعال کړئ او اوس هر هدف د VPN انټرفیس دی، هغه ماشین هم چې دا پای ته رسوي. هغه بهرني پاکټونه چې تونل وړي همدې ماشین ته لیږل کیږي، نو لاره په پای کې هغه ترانسپورت خوري چې پرې تکیه ده. یوه اضافي ځانګړې لاره دا حل کوي، او دلیل یې د پوهیدو وړ دی. پرته له دې دلیل، بله بیا جوړونه بیا هماغه نیمګړتیا راوړي.

هغه لار چې خپل ترانسپورت خوري

انکیپسولیشن هر پاکټ په دوهم سرلیک کې تړي. بهرنی سرلیک د محلي فزیکي پتې څخه د سرور عامې پتې ته لیږل کیږي، او باید فزیکي تړاو تیر کړي مخکې له دې چې کوم تونل شتون ولري.

اوس دې د هغې عامې پتې پلټنه تونل وټاکي. د پاکټ لیږلو لپاره ماشین باید انکیپسول یې کړي، چې همدغې پتې ته لاره غواړي، او هغه لاره تونل بیرته راولي. کلینټان دا په دوو لارو کې یوه حل کوي. محتاط کلینټ د ډیفالټ لار نصبولو څخه انکار کوي او تېروتنه راپور ورکوي، خو لږ محتاط بریالیتوب راپور ورکوي او بیا هېڅ نه خوځوي. غلې غلطي هغه ده چې یوه ماسپښین خوري.

د ترټولو اوږدې مخکښې سمون د هرې میټریک له کتلو مخکې پلټنه فیصله کوي، نو د یوې پتې لار له ماشین پر هر ډیفالټ لار مخکې ده. د دې ترمیم شاته ټول میکانیزم همدا دی.

استثنا د ډیفالټ مخکې نصب کړئ

د سرور لپاره د یوې پتې لار جوړه کړئ، فزیکي ګېټوې د بلې جګې په توګه، مخکې له دې چې ډیفالټ لار وخوځېږي. ترتیب مهم دی: وروسته نصب کول یعنې د ټایپ کولو پر مهال له ماتې تونل سره ژوند.

ډېری کلینټان دا پرته له غوښتنې کوي. OpenVPN لرې پته پلټي او مخکې له دې چې ډیفالټ ګېټوې بیا ولیکي هغه پن کوي، او د هغه route-delay انتخاب هغو پلیټ فارمونو لپاره دی چېرې چې دا ترتیب سیالي کوي. wg-quick بشپړه بله لار نیسي، پاکټونه نښه کول او د پالیسۍ قاعدې سره مشوره کول د استثنا د زیاتولو پر ځای. بېلابېل میکانیزمونه، یوه غوښتنه: بهرنی پاکټ باید له هغه تونل څخه وتښتي چې پخپله یې جوړوي.

ip route add 203.0.113.10/32 via 192.168.1.1 dev eth0
ip route get 203.0.113.10

د پلټنې پایله د منلو ازموینه ده. باید فزیکي وسیله او فزیکي بله جګه ونوموي. په هغه ځواب کې د تونل وسیله د دې معنا ده چې استثنا ورکه ده، یا د هغې وروسته ایښودل شوې چې ترې مخکې کیږي.

پر سرور د اینې انځور

هماغه څوکۍ په بل اړخ کې په برعکس ډول انتظار کوي. سرور ته د بل تونل له لارې ډیفالټ لار ورکړئ، یا هغه ته داسې لار ورټېلئ چې د کلینټانو عامې پتې پټوي، نو ځوابونه یې د غلط لوري عادت پیدا کوي.

داسې کلینټ تصور کړئ چې نښلوي او غوښتنه لیږي. ځواب د هغه کلینټ عامې پتې ته لیږل کیږي، چې اوس د تونل لار سره سمون خوري، نو له بل انټرفیس څخه وځي او داسې سرچینه وړي چې کلینټ هېڅکله نه ده ډایل کړې. کلینټ کولی شي هغه پاکټ ترلاسه کړي او بیا هم یې وغورځوي، ځکه هېڅ شی دا د هغې غوښتنې سره نه تړي چې لیږلې یې ده. د کلینټ د وخت له محدودیت څخه نه، د سرور د لارښوونې له پرېکړې پیل کړئ، ځکه د دواړو له جملې یوازې یو یې ریښتینی انتخاب ښیي.

ip route get 198.51.100.44 from 10.90.0.1
ip rule show
sudo tcpdump -ni any host 198.51.100.44

درې ترمیمونه شته او دوی سره برابر نه دي. خدمت د فزیکي پتې سره پن کول، یا د سرچینې ژباړل، دواړه د لارښوونې پرېکړه د سمولو پر ځای پټوي. د تونل حوض لپاره د ځواب ترافیک د ځانګړي جدول له لارې لیږل لامل سمول کوي، او نور دوه یوازې هغه وخت د منلو وړ دي چې د لارښوونې ډیزاین کنګل وي.

هغه استثناوې چې تونل یې دوامداره غلا کوي

څو دندې پرانیستې انټرنیټ ته اړتیا لري حتی کله چې تونل ډیفالټ لار لري، او هر یو ته خپله استثنا غواړي. د متحرک DNS تازه کوونکی معمولا لومړی ماتېږي.

هغه چمتو کوونکی حل کوي، اړیکه پرانیزي او ګوري چې خپل پاکټونه داسې تونل ته ځي چې پته یې څو ثانیې مخکې بدله شوې، نو تازه کول ناکامېږي یا غلطه پته خپروي. درې لارې: چمتو کوونکی د فزیکي ګېټوې له لارې د کوربه لار سره پن کړئ، تازه کول مخکې له دې چې تونل پورته شي چل کړئ، یا تازه کوونکي ته داسې پالیسي جدول ورکړئ چې تونل هېڅکله نه لمس کوي. د وخت همغږي پر هغه وسیله چې پرته له حل کوونکي بوټ کیږي همدغه خطر لري، او د سند تصدیق پای ټکي هم همدې دلیل له مخې په لیست کې دي.

هغه استثنا چې چا نه ده لیکلې، هغه استثنا ده چې بله بیا جوړونه به یې غلي غلي غورځوي.

له بیا نښلولو وروسته یې ثابت کړئ، نه مخکې

درې منزلونه وآزمویئ، نه یو: پای ټکی، له تونل شاته یوه شخصي پته، او له هغې هاخوا یوه عامه پته. یوه بریالۍ پلټنه د نورو دوو په اړه نږدې هېڅ نه وایي.

ip route get 203.0.113.10
traceroute -n 203.0.113.10
ip route get 10.90.0.5
ip route get 1.1.1.1

بیا اړیکه بیا پیل کړئ، ځکه هغه کلینټ چې له بیا نښلولو سره خپل جدول بیا جوړوي هغه لار به وغورځوي چې تاسو لاسي ټایپ کړې. که kill switch فعال وي، وګورئ چې پای ټکی اجازه لري، که نه تونل له شبکې بدلون وروسته نه شي راستنیدلی او نښه د قطعې په څېر ښکاري. استثنا په shell تاریخ کې نه، بلکې په پروفایل یا unit فایل کې وساتئ، تر څو بیا نښلول یې د پاکولو پر ځای بیا جوړ کړي.