Pictogramă verde, același IP public: ce rută a omis VPN-ul

Conectat, pictogramă verde în tavă și o pagină care îți arată adresa nu înseamnă automat o defecțiune, chiar dacă afișează în continuare adresa furnizorului. Un client face două lucruri separate: construiește un tunel și modifică tabela de rutare. Oricare poate exista fără celălalt, iar rutarea selectivă este configurația în care al doilea pas este omis intenționat.

Ce a instalat de fapt clientul

Întreabă ce interfață ar duce un pachet către o destinație reală, în loc să întrebi dacă tunelul este activ. Un tunel fără rută către acea destinație este un drum privat pe care nu merge nimeni.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Prima comandă răspunde pe Linux și macOS, iar celelalte două sunt echivalentele pentru Windows, unde una singură este suficientă. Dacă răspunsul numește adaptorul fizic, tunelul este activ și ruta implicită nu s-a mutat niciodată. Repetă verificarea pentru o destinație care ar trebui să folosească tunelul, fiindcă două verificări, una îndepărtată și una obișnuită, arată ce design este implementat.

Trei forme de rutare selectivă

Un profil de tunel complet scrie de obicei o rută implicită către interfață sau scrie perechea de prefixe pe jumătate de interval care câștigă la lungimea prefixului, în timp ce ruta implicită originală rămâne în tabelă. Rutarea selectivă este cealaltă alegere și vine în mai multe forme. Un profil rutează un singur host, cum ar fi un server RDP, altul rutează un interval public care trebuie atins dintr-o anumită locație, iar al treilea exclude intenționat o aplicație. Toate trei sunt legitime și niciunul nu schimbă adresa pe care o vede un site obișnuit.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Citește profilul pentru directiva care decide, apoi citește tabela pentru ce a produs. O directivă împinsă poate fi suprimată și pe client, de aceea profilul și tabela trebuie să fie de acord înainte să dai vina pe server.

Partea îndepărtată trebuie să rescrie adresa sursă

Există o a doua defecțiune care arată identic din browser. Ruta duce în tunel, serverul primește pachetele și apoi le redirecționează cu adresa privată a clientului intactă. Următorul salt nu are cale de întoarcere pentru acea adresă, așa că răspunsurile dispar și paginile se blochează. Serverul trebuie să redirecționeze, și trebuie să traducă sursa în ceva ce internetul poate ruta înapoi.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Numește interfața care chiar dă spre internet, care nu este mereu eth0 pe o distribuție modernă. Un server găzduit cu adresă fixă poate traduce explicit către acea adresă în loc să folosească masquerade. Ambele jumătăți contează, fiindcă redirecționarea fără traducere scurge surse nerutabile, iar traducerea fără redirecționare nu vede niciodată pachetul.

Rezolvarea numelor merge pe propriul drum

Traficul poate ieși prin tunel în timp ce căutarea care a găsit numele a mers la un resolver din rețeaua locală. Adresa vizibilă rămâne aceeași, interogările nu, iar acest gol este exact ceea ce alege un design cu DNS divizat.

resolvectl status | head -20
resolvectl query example.org

Observă ce server a răspuns și dacă diferă de linia de bază dinaintea tunelului. Într-un tunel divizat, aceasta este de obicei setarea pe care oamenii voiau să o schimbe când se plângeau de adresă și este exact cea la care nu s-au uitat niciodată.

Patru observații care lămuresc totul

Notează adresa de ieșire cu tunelul oprit, apoi cu el pornit. Rulează verificarea destinației în ambele stări și notează interfața de fiecare dată.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Când verificarea ajunge în tunel și ecoul raportează în continuare adresa furnizorului, traducerea la ieșire lipsește. Când verificarea ajunge pe adaptorul fizic, profilul este selectiv și adresa publică nu a fost niciodată în scop. Înlocuiește serviciul de ecou cu unul în care ai încredere și notează cele patru observații împreună, fiindcă separat sunt doar anecdote. Împreună arată care dintre cele două sarcini a fost îndeplinită de fapt de client.