Ikonë e gjelbër, i njëjti IP publik: cilën rrugë kaloi VPN-ja

I lidhur, ikonë e gjelbër në tabaka dhe një faqe që shfaq adresën ende raporton adresën e ofruesit — kjo nuk do të thotë automatikisht defekt. Klienti kryen dy punë të ndara: ndërton një tunel dhe modifikon tabelën e rrugëzimit. Secila mund të ndodhë pa tjetrën, dhe rrugëzimi selektiv është konfigurimi ku e dyta anashkalohet me qëllim.

Çfarë vendosi në të vërtetë klienti

Pyetni cila ndërfaqe do ta çonte një paketë drejt një destinacioni real, në vend që të pyesni nëse tuneli është aktiv. Një tunel pa rrugë për atë destinacion është një rrugë private ku nuk shkon askush.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Komanda e parë përgjigjet në Linux dhe macOS, ndërsa dy të tjerat janë ekuivalentet për Windows, ku mjafton njëra. Nëse përgjigjja emërton përshtatësin fizik, tuneli është aktiv dhe rruga e parazgjedhur nuk u zhvendos kurrë. Përsëriteni kontrollin për një destinacion që duhet të përdorë tunelin, sepse dy kontrolle, një e largët dhe një e zakonshme, tregojnë cila skemë është vendosur.

Tri forma të rrugëzimit selektiv

Një profil tuneli të plotë zakonisht shkruan një rrugë të parazgjedhur drejt ndërfaqes, ose shkruan çiftin e prefiksave gjysmë-interval që fitojnë në gjatësinë e prefiksit, ndërsa rruga origjinale e parazgjedhur mbetet në tabelë. Rrugëzimi selektiv është zgjedhja tjetër dhe vjen në disa forma. Një profil rrugëzon një host të vetëm, si një server RDP, një tjetër rrugëzon një interval publik që duhet arritur nga një vend i caktuar, dhe i treti me qëllim përjashton një aplikacion. Të tre janë të ligjshëm dhe asnjëri nuk e ndryshon adresën që sheh një faqe e zakonshme.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Lexoni profilin për direktivën që vendos, pastaj lexoni tabelën për atë që prodhoi. Një direktivë e shtyrë mund të shtypet edhe në klient, prandaj profili dhe tabela duhet të përputhen përpara se të fajësoni serverin.

Ana e largët duhet të rishkruajë adresën burimore

Ka një defekt të dytë që nga shfletuesi duket identik. Rruga shkon në tunel, serveri i merr paketat dhe pastaj i përcjell me adresën private të klientit të paprekur. Hapi tjetër nuk ka rrugë kthimi për atë adresë, kështu që përgjigjet zhduken dhe faqet ngecin. Serveri duhet të përcjellë fare, dhe duhet ta përkthejë burimin në diçka që interneti mund ta rrugëzojë mbrapsht.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Emërtoni ndërfaqen që me të vërtetë shikon nga interneti, e cila në një shpërndarje moderne nuk është gjithmonë eth0. Një server i strehuar me adresë fikse mund të përkthejë shprehimisht në atë adresë në vend që të përdorë masquerade. Të dyja gjysmat kanë rëndësi, sepse përcjellja pa përkthim rrjedh burime të parrugëzueshme, ndërsa përkthimi pa përcjellje nuk e sheh kurrë paketën.

Zgjidhja e emrave merr rrugën e vet

Trafiku mund të dalë përmes tunelit ndërsa kërkimi që gjeti emrin shkoi te një zgjidhës në rrjetin lokal. Adresa e dukshme mbetet e njëjtë, kërkesat jo, dhe pikërisht këtë boshllëk zgjedh një skemë DNS e ndarë.

resolvectl status | head -20
resolvectl query example.org

Vini re cili server u përgjigj dhe nëse ndryshon nga baza para tunelit. Në një tunel të ndarë kjo është zakonisht vendosja që njerëzit donin të ndryshonin kur ankoheshin për adresën, dhe është pikërisht ajo që nuk e shikuan kurrë.

Katër vëzhgime që e sqarojnë çështjen

Regjistroni adresën e daljes me tunelin e fikur, pastaj me atë të ndezur. Ekzekutoni kontrollin e destinacionit në të dyja gjendjet dhe shënoni ndërfaqen çdo herë.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Kur kontrolli bie brenda tunelit dhe jehona ende raporton adresën e ofruesit, përkthimi në dalje mungon. Kur kontrolli bie mbi përshtatësin fizik, profili është selektiv dhe adresa publike nuk ishte kurrë në fushëveprim. Zëvendësoni shërbimin e jehonës me një që i besoni dhe regjistroni katër vëzhgimet së bashku, sepse veçmas janë thjesht anekdota. Së bashku ato tregojnë se cilën nga dy punët klienti kreu në të vërtetë.