route-gateway د redirect-gateway نه دی: په رښتیا څه بدلېږي
دا انتخاب یوازې هغو لارو ته بله ټوپ ورکوي چې OpenVPN یې نصبوي. له منځه وړل یې بشپړ هل شوی تونل نه بندوي، او سمون د بیا لېږد په برخه کې دی.
ستاسو تونل پورته کېږي، شخصي فرعي شبکه ځواب ورکوي، او عادي براوزنګ بیا هم VPN ته ورکېږي، که څه هم چا له پروفایل څخه د ګېټوې کرښه ړنګه کړې ده۔ همدا ترکیب د غلط لارښود د سمون د ګوتو نښه ده۔ هغه څه چې لرې شو، کلاینټ ته د هغو لارو لپاره بله ټوپ ورکوله چې نصبوي یې؛ خو هغه څه چې ترافیک نیول یې دوام وکړ، له بل ځای راغی او سرور هل کړ۔ پوښ او بله ټوپ جلا کارونه دي، او یوازې یو یې پرېکړه کوي چې ایا عامه منزلونه تونل کاروي که نه۔
هغه کرښه چې تاسو ړنګه کړه بله ټوپ وه، نه د پالیسي سویچ
هره لاره چې کلاینټ نصبوي، د اشارې لپاره د ګېټوې پته غواړي، او کله چې لاره پخپله هېڅ پته ونه نومي، د ګېټوې لارښود د هغې پتې سرچینه ده۔ هغه ړنګه کړئ او هغو لارو ته د ځوړندېدو ځای نه پاتې کېږي، نو یا نصب نه شي یا داسې لارې ته ونه وځي چې چېرته نه رسېږي۔ شخصي فرعي شبکه همدا هغه څه دي چې داسې لاره یې وړله۔
په دې منځ کې د پاتې شوي چلند بل لیکوال دی: په هل شوي بلاک کې د بیا لېږد انتخاب، چې د خپلو بیرغونو له مخې عادي وتونکی ترافیک تونل ته لېږدوي۔ د ګېټوې لرې کول نه هغه بندوي او نه یې کمزوری کوي۔ پایله د دوو حالتونو تر ټولو بد ده: عامه ترافیک لا هم نیول کېږي او هغه شخصي منزل چې تونل یې توجیه کاوه اوس نه رسېدونکی دی۔ له همدې امله دویم سمون هم چې په همدې روح شوی، هېڅ نه بدلوي۔
څلور لویې لاستي، څلور جلا کارونه
په دې بحث کې څلور لارښوونې یو د بل پر ځای راوړل کېږي، او یوازې یوه یې پوښ کنټرولوي، یعنې کوم منزلونه د تونل له لارې ځي۔ دویمه هغه بله ټوپ ټاکي چې لارې یې کاروي، درېمه یو واحد مختګ نصبوي، او څلورمه هغه هر څه غورځوي چې سرور هل کړي، په شمول هغه شخصي لارې چې ځای پرځای کول یې غواړي۔ جدول دوی د نوم له مخې نه، بلکې د هغه څه له مخې ترتیبوي چې مدیر یې بدلول غواړي، ځکه چې ګډوډي نومونه جوړوي۔ دوی څلور جلا پرېکړې وګڼئ او هغه غوره کړئ چې واقعاً یې بیرته راګرځول غواړئ۔
په عمل کې څلور واړه ډېری وخت په یوه هل شوي بلاک کې، کرښه پر کرښه راځي، چې دوی د یو تنظیم برخې ښکاري۔ داسې نه دي، او د OpenVPN حواله دوی د جلا میکانېزمونو په توګه ثبتوي همدې لپاره۔ دا معلومول چې کومه پرېکړه بیرته ګرځوئ کار دی؛ سمون یوه کرښه ده۔
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
هل شوې کرښه فلټر کړئ، بله ټوپ وساتئ
که هغه پوښ چې تاسو ورسره مخالفت لرئ د هل شوي انتخاب په توګه راشي، تنګ ځواب دا دی چې هغه انتخاب په نوم له پامه وغورځوئ او د هل شوي بلاک پاتې برخه نېوکه پرېږدئ۔ د فلټر په توګه لیکل شوی دا د لاندې کرښې په څېر ښکاري، او ځای یې د اغېزمن کلاینټ په پروفایل کې دی، نه د سرور په ترتیباتو کې۔
pull-filter ignore "redirect-gateway"تنګوالی هغه اصل دی۔ ځکه چې فلټر متني مختګ پرتله کوي، لنډ نمونه د بلې ټوپ لارښود سره هم سمون لري، چې هغه معلومات لرې کوي چې شخصي لارې پرې تکیه دي او اصلي تېروتنه په نوي لباس کې تکراروي۔ فلټر یوازې په هل شوو انتخابونو عمل کوي، نو هغه مساوي کرښه چې په سیمه ییز ډول لیکل شوې یا د شبکې مدیر لخوا تحمیل شوې، هېڅکله نه لمس کوي۔ له هغې وروسته بیا وصل شئ، ځکه ژوندې ناسته هغه څه بیا نه ارزوي چې سرور هل کړي۔
جدول نه، لټون ولولئ
له پروفایل له بیا لوډولو وروسته له کرنل څخه وپوښتئ چې دوه منزلونه واقعاً چېرته ځي: یو د شخصي مختګ دننه او بل په عامه انټرنیټ کې۔ د اصلي جدول بشپړ ډمپ لوستل ستونزمن او غلط لوستل اسانه دي، ځکه لاره کېدای شي موجوده وي او بیا هم له ډېر ځانګړي سمون څخه وبایلي۔ په پالیسي بنسټیز روټینګ کې قاعده، جدول او د سرچینې پته هم د کتنې برخه ده۔
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showد def1 ډول د پېژندنې وړ دی، ځکه زوړ ډیفالټ داخل د لید وړ پریږدي، په داسې حال کې چې د نیمګړو ډیفالټونو یوه جوړه لټون ګټي۔ نو په پایله کې د 0.0.0.0/0 کرښه پخپله هېڅ نه ثابتوي۔ لټون هغه پوښتنې ته ځواب ورکوي چې لیست یوازې ځواب ورکوونکی ښکاري۔
DNS، IPv6 او شخصي لاره باید لا هم کار وکړي
د یو IPv4 بیا لېږد ردول د حل کوونکي په اړه هېڅ نه وایي، نو هل شوی DNS انتخاب کېدای شي لا هم پوښتنې تونل ته ولېږي، په داسې حال کې چې لارې سمې ښکاري۔ IPv6 ډیفالټ کېدای شي همدا کار د هغې پتې کورنۍ لپاره وکړي چې IPv4 کتنې هېڅکله نه ده لمس کړې۔ دواړه اړمنې دي چې د انګېرنې پر ځای څرګنده پرېکړه ولري۔ بیا ډاډ ترلاسه کړئ چې شخصي خدمت لا هم ځواب ورکوي، ځکه هغه ووېشل شوی تونل چې خپله شخصي لاره یې له لاسه ورکړې ده ووېشل شوی تونل نه دی، مات دی۔
یو پراخه وسیله د خبرداري وړ ده: route-nopull هر هل شوی مسیر او هر هل شوی DNS انتخاب غورځوي، چې بشپړ تونل یقیناً ودروي او هماغسې یقیناً هغه شخصي لارې ماتوي چې ځای پرځای کول پرې تکیه دي، نو دا له یو انتخاب ته نښه شوي نوم-فلټر څخه ډېر لوی چوړ دی۔ له هر بدلون وروسته شخصي منزل، عامه منزل او حل کوونکی وګورئ، او بشپړ شوی لاس ورکول یوازې د لاس ورکولو شاهد وګڼئ۔