Dante SOCKS përmes VPN: tunel i plotë apo rrugëtim sipas burimit

Doni që trafiku i proxy-t SOCKS të dalë përmes VPN-së ndërsa pjesa tjetër e hostit mban rrugën e saj normale. Dy modele e bëjnë këtë dhe ndryshojnë në atë që thyhet kur diçka shkon keq. Njëri shtyn një rrugë të paracaktuar në tunel dhe pastaj e anashkalon; tjetri e lë tabelën kryesore të qetë dhe dërgon një adresë të vetme burimi në një tabelë të dytë. I dyti është më i pastër dhe ka kurthet e veta.

Dy modele, dy rreze të ndryshme dëmtimi

Modeli i tunelit të plotë është ai që bëjnë si parazgjedhje shumica e klientëve VPN: zëvendësojnë rrugën e paracaktuar që gjithçka të ndjekë tunelin dhe më pas përjashtojnë atë që nuk duhet. Është e lehtë të arsyetosh dhe e vështirë ta mbash të ngushtë, sepse çdo shërbim lokal që shton trashëgon tunelin derisa ta përjashtosh. Mënyra e dështimit është e gjerë, pasi një rrugë e gabuar merr me vete edhe lidhshmërinë e vetë hostit.

Modeli me zgjedhje burimi shkon në drejtimin të kundërt. Tabela kryesore mbetet ashtu si ishte, dhe një rregull i vetëm politike dërgon paketat nga një adresë lokale e caktuar në një tabelë me një rrugë të paracaktuar përmes tunelit. Asgjë tjetër nuk ndryshon, që do të thotë se rrezja e dëmtimit është një adresë.

Kjo ngushtësi është edhe kufizimi: modeli funksionon vetëm nëse paketat dalëse të proxy-t vërtet mbajnë atë adresë.

Çfarë bën cilësimi external i Dante

Cilësimi external zgjedh adresat që proxy përdor për lidhjet dalëse; nuk prek politikën e rrugëtimit të kernelit. Pikërisht ky ndarje bën të mundur modelin e dytë, dhe këtu njerëzit e lexojnë dokumentacionin gabimisht. Drejtimi i external në një adresë tuneli e bën proxy-n t'i nisë lidhjet nga ajo adresë, dhe më pas tabela e rrugëtimit vendos ku shkojnë ato paketa.

Dëgjuesi është çështje më vete. Mbaje internal të kufizuar te klientët që duhet të përdorin proxy-n, kërko vërtetim dhe mbyll portën me një firewall, sepse një dëgjues i hapur nuk është tipar i daljes VPN.

Konfirmo që adresa e konfiguruar i përket vërtet tunelit brenda hapësirës së emrave të rrjetit të proxy-t.

Ndërtimi i tabelës me zgjedhje burimi

Për një adresë TUN 10.90.0.2/24 me një partner të arritshëm në 10.90.0.1, dhe një numër tabele që asgjë tjetër nuk e përdor, rregullimi duket kështu:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Rruga e paarritshme është pjesa që njerëzit e kapërcejnë. Pa të, një tabelë, rruga e tunelit e së cilës zhduket, bie në rrugën e paracaktuar të zakonshme dhe proxy del në heshtje përmes WAN-it. Me të, kërkimi dështon, që është një dështim i dukshëm në vend të një rrjedhjeje të qetë. Edhe përparësia e rregullit duhet të qëndrojë para çdo gjëje tjetër që përputhet me atë burim.

Këto vlera përshkruajnë një topologji. Partnerët pikë-pikë, adresimi net30 dhe klientët që shpërndajnë një prefiks tjetër kanë të gjithë nevojë për rrugët e tyre, prandaj kopjo formën, jo adresat.

Ku rrjedh rregulli i burimit

Një rregull që përputhet me një adresë burimi prek çdo proces që e përdor, jo vetëm proxy-n. Nëse një tjetër demon lidh të njëjtën adresë, edhe trafiku i tij merr tunelin, dhe dështimi do të duket si problem i një shërbimi të palidhur. Jepi proxy-t një adresë që asgjë tjetër nuk e përdor, ose prano që fusha është adresa dhe jo procesi.

DNS është rrjedhja tjetër. Një socket zgjidhësi nuk përdor domosdoshmërisht burimin e të dhënave dalëse të proxy-t, ndaj kërkimet e emrave mund të dalin ende përmes WAN-it. Testo zgjidhjen veçmas nga vendosja e lidhjes dhe vendos nëse ai rezultat është i pranueshëm.

IPv6 ka nevojë për rregullat dhe rrugët e veta, sepse një rregullim IPv4 nuk provon asgjë rreth tij.

Zgjidh sipas dështimit që mund të durosh

Zgjidh tunelin e plotë kur hosti duhet mbrojtur në tërësi dhe mund të mirëmbash listën e përjashtimeve. Zgjidh rrugëtimin sipas burimit kur hosti duhet të mbajë rrugën e vet dhe vetëm një shërbim duhet ridrejtuar. Të dyja janë legjitime; gabimi është të zgjedhësh njërën dhe pastaj ta testosh sikur të ishte tjetra.

Çfarëdo që të zgjedhësh, verifiko nga të dyja anët: një kërkesë përmes proxy-t dhe një kërkesë e drejtpërdrejtë nga hosti, me adresën e daljes të vëzhguar të regjistruar për secilën.

Nëse tuneli bie, vendos paraprakisht nëse proxy duhet të dështojë ose të tërhiqet, dhe lëre tabelën e rrugëtimit ta shprehë atë vendim.