OpenVPN redirect-gateway: kaj vsaka zastavica naredi s potmi

Povežite se z redirect-gateway v profilu in privzeta pot vašega računalnika lahko izgine, se razdeli na dve ali ostane točno tam, kjer je bila, odvisno od zastavic, ki jih nihče ne prebere dvakrat. Možnost spremeni samo stanje usmerjanja in nič drugega, zato je edini zanesljiv dokaz o tem, kaj je storila, tabela, ki jo je odjemalec namestil zatem. Sledi tabela po povezavi, pot, ki ohranja tunel samega pri življenju, in promet IPv6, ki ga direktiva nikoli ne trdi, da pokriva. Vsak korak je ukaz, ki ga lahko izvedete na odjemalcu, dokler je tunel aktiven.

Kaj vsaka zastavica naredi s privzeto potjo

Brez vsake zastavice možnost odstrani običajno privzeto pot in na njeno mesto postavi tunel, zato stara prehodna postaja izgine iz tabele, dokler je povezava aktivna. Dodajte def1 in ta privzeta pot ostane na seznamu, delo pa opravita dve ožji poti. Dodajte bypass-dhcp in tudi pot DHCP preživi, kar je pomembno v omrežju, kjer mora odjemalec še vedno doseči lokalni strežnik DHCP. Seznam zastavic na strani priročnika za OpenVPN 2.6 je dovolj kratek za enkratno branje in vsak vnos spremeni, katere poti končajo v tabeli.

Potisnjena možnost se ob prihodu obnaša enako, zato lahko profil odjemalca ne vsebuje ničesar, medtem ko je tabela videti popolnoma preusmerjena. To je normalno: strežnik je poslal zastavice, odjemalec jih je uporabil, lokalna datoteka pa direktive nikoli ni omenila. Ko se zdi, da potiskanje ne naredi ničesar, preverite filter na strani odjemalca, ki sprejema ali zavrača potegnjene možnosti, ker zavrnjena možnost ne sproži napake na nobeni strani.

def1 zmaga s specifičnostjo, ne da bi se dotaknil vaše privzete poti

Dve polovični privzeti poti skupaj pokrivata prostor IPv4, 0.0.0.0/1 in 128.0.0.0/1. Vsaka je bolj specifična od 0.0.0.0/0, zato ju iskanje raje izbere, medtem ko prava privzeta pot ostane v tabeli za vse, kar zahteva najmanj specifično ujemanje.

Berite tabelo, ne profila, ker samo tabela pokaže, v katerem od teh primerov ste. Za razlikovanje sta dovolj dve vrstici:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Bodite pozorni na vmesnik in metriko v vsaki vrstici, ne le na cilj. Privzeta pot, ki kaže na tunel, in par polovičnih poti, ki kažejo na tunel, opisujeta isti namen in se ob padcu tunela ne uspeta na različne načine, ker v enem primeru rezervna pot še vedno obstaja. Zapišite oba polja v opombo o spremembi. Preživela rezervna pot včasih drži oddaljeno sejo pri življenju dovolj dolgo, da se tunel popravi, in prav ona tudi pušča promet, ko je bil namen poln tunel.

Ohranite končno točko tunela dosegljivo

Odjemalec potrebuje pot do oddaljenega konca tunela, ki sama ne gre skozi tunel. OpenVPN namesti to pot do gostitelja, preden spremeni karkoli drugega, ročno urejanje poti ali drug odjemalec VPN pa jo lahko odstrani. Simptom zatem je povezava, ki sporoči, da je povezana, in nato ničesar ne spusti skozi.

Vprašajte jedro, kateri vmesnik bi uporabilo za naslov končne točke, dokler je tunel aktiven. Odgovor mora navesti fizični vmesnik in njegov prehod, nikoli tun0:

ip route get 198.51.100.20

Če to iskanje vrne napravo tunela, tunel prenaša svoj lastni promet in se bo sesul takoj, ko bo moral kakšen paket oditi. Lokalne predpone, drugi vmesnik in usmerjanje po pravilniku tu še vedno štejejo, zato lahko preusmeritev, ki deluje na čistem prenosniku, ne uspe na gostitelju z upravljalnim vmesnikom in dvema privzetima potema. Običajno je okrivljen profil za to, kar je storil načrt naslovov.

Promet IPv6 še naprej uporablja svojo tabelo

Preusmerjanje IPv4 pusti IPv6 pri miru, družini pa spreminjajo različne zastavice. Na gostitelju z dvojnim skladom in delujočo privzeto potjo v6 lahko promet v4 sedi povsem v tunelu, medtem ko vsak cilj, ki zmore v6, odhaja po fizični povezavi. Gostitelj, ki je videti pravilen v eni tabeli, pušča v drugi.

Po povezavi preverite tabelo v6, namesto da bi domnevali, da jo je tunel pokril. Direktiva nosi zastavice družine naslovov prav zato in profil, ki jih izpusti, podeduje to, kar platforma naredi privzeto:

ip -6 route show default
ip -6 route get 2001:db8::10

Dokažite, kateri vmesnik uporablja aplikacija

Povezano stanje ni blokada in sprememba poti ni varnostno stikalo. Če se mora neposredni promet ustaviti, ko tunel odpove, ta pravilnik živi v požarnem zidu in potrebuje svoj preizkus.

Preizkusite pot, ki jo aplikacija resnično ubere, ne poti, ki jo opisuje profil. Najprej vprašajte za pot, nato po vrsti privežite zahtevo na vsak vmesnik in primerjajte, kaj sporoča oddaljena stran:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Če obe zahtevi vrneta isti naslov, aplikacija ne uporablja tunela, čeprav tabela usmerjanja pravi, da bi ga morala. Če uspe le zahteva, vezana na tunel, je fizična pot za ta cilj filtrirana in tunel dela to, kar ste zahtevali. Zapišite zastavice, nameščene poti, iskanje končne točke in oba izida v dnevnik sprememb, da bo naslednja oseba podedovala dejstva namesto posnetka zaslona.