Ícone verde, mesmo IP público: qual rota a VPN pulou

Conectado, ícone verde na bandeja e uma página de eco de endereço que ainda mostra o endereço do provedor não significam automaticamente uma falha. O cliente faz dois trabalhos separados: constrói um túnel e edita a tabela de rotas. Qualquer um pode acontecer sem o outro, e o roteamento seletivo é a configuração em que o segundo é deliberadamente ignorado.

O que o cliente realmente instalou

Pergunte qual interface levaria um pacote a um destino real em vez de perguntar se o túnel está ativo. Um túnel sem rota para esse destino é uma estrada privada pela qual ninguém passa.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

O primeiro comando responde no Linux e no macOS, e os outros dois são os equivalentes no Windows, onde um basta. Se a resposta nomear o adaptador físico, o túnel está ativo e a rota predefinida nunca se moveu. Repita a verificação para um destino que deveria usar o túnel, porque duas verificações, uma remota e uma comum, dizem qual projeto está implantado.

Três formas de roteamento seletivo

Um perfil de túnel completo normalmente grava uma rota predefinida apontando para a interface, ou grava o par de prefixos de meio intervalo que vencem pelo comprimento do prefixo enquanto a rota predefinida original fica na tabela. O roteamento seletivo é a outra escolha, e vem em várias formas. Um perfil encaminha um único host, como um servidor RDP, outro encaminha uma faixa pública que precisa ser alcançada de um local específico, e um terceiro exclui deliberadamente uma aplicação. Os três são legítimos, e nenhum altera o endereço que um site comum vê.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Leia o perfil para a diretiva que decide e depois a tabela para o que ela produziu. Uma diretiva empurrada também pode ser suprimida no cliente, por isso o perfil e a tabela têm de concordar antes de culpar o servidor.

O lado remoto tem de reescrever o endereço de origem

Há uma segunda falha que, do navegador, parece idêntica. A rota aponta para o túnel, o servidor recebe os pacotes e depois os encaminha com o endereço privado do cliente intacto. O salto seguinte não tem caminho de volta para esse endereço, então as respostas desaparecem e as páginas travam. O servidor tem de encaminhar sequer, e tem de traduzir a origem em algo que a internet consiga encaminhar de volta.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Nomeie a interface que realmente olha para a internet, que numa distribuição moderna nem sempre é eth0. Um servidor alojado com endereço fixo pode traduzir explicitamente para esse endereço em vez de usar masquerade. As duas metades importam, porque o encaminhamento sem tradução vaza origens não roteáveis, enquanto a tradução sem encaminhamento nunca vê o pacote.

A resolução de nomes segue o seu próprio caminho

O tráfego pode sair pelo túnel enquanto a consulta que encontrou o nome foi para um resolvedor na rede local. O endereço visível continua o mesmo, as consultas não, e essa lacuna é exatamente o que um projeto de DNS dividido escolhe.

resolvectl status | head -20
resolvectl query example.org

Repare em qual servidor respondeu e se difere da linha de base antes do túnel. Num túnel dividido é normalmente a definição que as pessoas queriam mudar quando reclamavam do endereço, e é aquela em que nunca olharam.

Quatro observações que resolvem a questão

Registe o endereço de saída com o túnel em baixo e depois com o túnel em cima. Execute a verificação de destino nos dois estados e anote a interface de cada vez.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Quando a verificação cai dentro do túnel e o eco ainda mostra o endereço do provedor, falta a tradução na saída. Quando a verificação cai no adaptador físico, o perfil é seletivo e o endereço público nunca esteve em causa. Substitua o serviço de eco por um em que confie e registe as quatro observações juntas, porque separadas são anedotas. Juntas identificam qual dos dois trabalhos o cliente realmente executou.