Tuneli i plotë vrau sesionin tuaj SSH: fiksoni rrugën e kthimit

Nisni një klient OpenVPN në makinën me të cilën punoni përmes SSH, dhe në mes të komandës sesioni ngrin. Tuneli raporton i lidhur, hosti mund të arrijë internetin përmes tij, dhe shtypjet e tasteve tuaja vazhdojnë të mbërrijnë ndërsa asgjë nuk kthehet. Ajo që ndryshoi nuk është tuneli: është rruga e kthimit për paketat e adresuara për ju, e cila tani përputhet me rrugën e re të parazgjedhur dhe hyn në një tunel që porta e largët nuk do ta përdorë për të arritur tavolinën tuaj.

Çfarë instalon në të vërtetë redirect-gateway

Në formën e tij def1, redirect-gateway shton 0.0.0.0/1 dhe 128.0.0.0/1 në vend që të mbishkruajë rrugën e parazgjedhur. Këto dy gjysma mbulojnë të gjithë hapësirën e adresave ndërsa të dyja mbeten parashtesa më të gjata se 0.0.0.0/0, kështu që çdo destinacion pa një përputhje më specifike tani hyn në tunel. Ky është mekanizmi që duhet mbajtur mend, sepse çdo rregullim më poshtë funksionon duke instaluar një përputhje më specifike.

Adresa juaj administrative është një nga ato destinacione.

Serveri VPN përcjell trafikun e klientëve të tij drejt internetit. Nuk ka rrugë për adresën publike nga e cila lidheni dhe asnjë arsye për t'i trajtuar ato paketa ndryshe nga trafiku që vjen nga një klient, prandaj i hedh. Ndërkohë, kërkesa që dërguat arriti gjithsesi në host, dhe kjo është arsyeja pse sesioni duket i gjallë vetëm në njërën anë.

ip route show table main | head -n 20
ip route get 198.51.100.23

Gjeni adresën tuaj burimore dhe rrugën para tunelit

Në server, listoni lidhjen SSH të vendosur dhe shënoni adresën e palës nga e cila erdhi. Ajo adresë është ajo që rruga juaj e kthimit duhet të mbulojë, dhe nuk është gjithmonë ajo që mendoni: një host kërcimi, një portë NAT ose një përkthyes i operatorit mund të zëvendësojë një burim tjetër.

Më pas gjeni portën fizike dhe ndërfaqen që transportonin trafikun përpara se të niste tuneli. Në rregullimin def1 rruga e parazgjedhur është ende e pranishme nën gjysmë-parazgjedhjet, kështu që informacioni është i disponueshëm, megjithëse leximi me sy i një tabele të gjatë rrugësh të fton në gabime.

Shënoni të dyja vlerat dhe emrin e ndërfaqes bashkë, sepse rrugës që po shtoni i duhen të treja. Nëse hosti përdorte një rregull të rrugëzimit me politikë për të zgjedhur lidhjen e tij hyrëse, një rrugë e thjeshtë mund të mos merret fare parasysh, dhe kjo mundësi e ndryshon rregullimin.

Fiksoni një rrugë hosti që u kalon gjysmë-parazgjedhjeve

Një rrugë /32 është më e gjatë se çdo gjysmë-parazgjedhje, prandaj përgjigjet drejt adresës tuaj e marrin atë në vend të tunelit. Hapi tjetër është porta para tunelit dhe pajisja është ndërfaqja fizike, gjë që e mban paketën në rrugën që përdorte para se të ekzistonte tuneli.

ip route add 198.51.100.23/32 via 203.0.113.1 dev eth0

Verifikoni me një kërkim, jo duke inspektuar tabelën: përgjigja duhet të përmendë eth0 dhe portën, kurrë tun0.

OpenVPN tashmë shton një rrugë hosti për adresën e vet të serverit VPN për të njëjtën arsye, kështu që modeli është i njohur dhe adresa administrative është thjesht një përjashtim tjetër. Mos u mbështetni te route-nopull për ta rregulluar këtë, sepse i hedh rrugët e shtyra që i duhen tunelit, përfshirë rrjetin e largët dhe opsionet DNS.

Bëjeni të mbijetojë një rilidhje

Një rrugë e shtuar me dorë zhduket kur klienti rilidhet dhe instalon të vetat, gjë që e kthen një rregullim në një ndërprerje të përsëritur. Lidhni komandën me diçka që ekzekutohet pasi instalolen rrugët.

Një skript route-up ose grepi pre-up i menaxherit të rrjetit funksionojnë të dyja, dhe kontrolli i besueshëm është një rilidhje e ndjekur nga i njëjti kërkim.

Në Windows ekuivalenti është një rrugë e përhershme e shtuar me -p, e cila i mbijeton rindezjeve por duhet të vazhdojë të tregojë portën e saktë pas një ndryshimi rrjeti. Cilado platformë qoftë, shkruani arsyen pranë rrugës: administratori i ardhshëm duhet të dijë se ajo ekziston për të mbrojtur një sesion administrimi, jo sepse e kërkonte projektimi i rrjetit.

Kur një rrugë e fiksuar nuk mjafton ende

Filtrimi i rrugës së kthimit mund të hedhë një paketë që mbërrin në një ndërfaqe dhe largohet nga një tjetër, pikërisht ajo që krijon një rrugë e fiksuar. Kontrolloni vlerën efektive rp_filter përpara se të çaktivizoni diçka globalisht dhe preferoni rregullimin e asimetrisë sesa fikjen e kontrollit. Zbatohet cilësimi për ndërfaqe, dhe mënyra e lirshme shpesh thjesht regjistron asimetrinë në vend që ta hedhë paketën. Lexoni të dyja përpara se të arrini në përfundimin se faji është i filtrit.

Hostet me rrugëzim me politikë kanë nevojë për një rregull si dhe një rrugë, sepse baza e rregullave zgjedh tabelën përpara se rruga brenda saj të merret parasysh. Një rrugë në tabelën kryesore është e padukshme për një rrjedhë që përputhet me një rregull që tregon një tabelë tjetër. Lexoni rregullat përpara se të shtoni diçka në main. Nëse një rregull tashmë mbulon trafikun e administrimit, përjashtimi i takon tabelës së atij rregulli.

Mbani hapur një konsolë jashtë brezit ndërsa testoni dhe rikontrolloni nga një hyrje e dytë përpara se të shkëputni atë që po përdorni. Një rrugë që i dërgon trafikun tuaj të administrimit në tunel e pret lidhjen përmes së cilës po e rregulloni. Kthimi atëherë do të thotë një konsolë serike ose një nisje shpëtimi, që është një shkëmbim i dobët për të anashkaluar një hap verifikimi.