Rruga juaj e vjetër e parazgjedhur i mbijeton OpenVPN qëllimisht

Lidhni tunelin, ekzekutoni ip route dhe porta e parazgjedhur origjinale është ende aty. Mendimi tjetër është se klienti nuk e mori rrugën përsipër, kështu që e fshini të parazgjedhurën me dorë dhe humbni plotësisht lidhshmërinë. Ai zë duhej të mbetej. Me redirect-gateway def1, OpenVPN instalon dy rrugë më specifike që e tejkalojnë të parazgjedhurën e zakonshme në vend që ta zëvendësojnë atë. Porta e vjetër mbetet dhe ndalon së transportuari trafikun që po testonit.

Çfarë bën në të vërtetë def1

Flamuri shton 0.0.0.0/1 dhe 128.0.0.0/1, të dyja drejt tunelit. 0.0.0.0/1 mbulon çdo adresë okteti i parë i së cilës është 0 deri 127, dhe 128.0.0.0/1 mbulon 128 deri 255, kështu që çdo destinacion IPv4 ka një përputhje më specifike se rruga e vjetër e parazgjedhur. Gjatësia e prefiksit, jo metrika, vendos cila rrugë fiton.

Lënia e rrugës origjinale të parazgjedhur në vendin e vet është e qëllimshme. Klienti nuk duhet të mbajë mend çfarë zëvendësoi dhe nuk e rishkruan rrugën që mbart lidhjen e tij me serverin VPN. Gjatë shkëputjes heq dy gjysmërrugët dhe tabela kthehet në atë që ishte.

Përse /1 dhe jo /0

Rrugëtimi zgjedh prefiksin më të gjatë që përputhet, jo metrikën më të ulët, kështu që një /1 mposht një /0 pavarësisht se çfarë thotë metrika e të parazgjedhurës. Të dyja gjysmat ekzistojnë sepse një /1 mbulon vetëm gjysmën e hapësirës; kur është e pranishme vetëm 0.0.0.0/1, gjithçka nga 128.0.0.0 e lart vazhdon të ndjekë rrugën e vjetër të parazgjedhur, çka krijon simptomën konfuze ku disa sajte punojnë e të tjerë jo.

Ngritja ose ulja e metrikës së rrugës së vjetër të parazgjedhur nuk ndryshon asgjë, dhe as një rrugë e parazgjedhur me metrikë më të ulët në një ndërfaqe tjetër nuk e vjedh trafikun. Së pari vendos gjatësia e prefiksit dhe vetëm prefikset e barabarta i drejtohen metrikës.

Lexoni një tabelë të vërtetë rrugëtimi

Një host i lidhur mund të shfaqë të tre zërat njëherësh, me tunelin që mbart gjysmat dhe porta origjinale ende në listë. Adresat janë shembuj dhe jo një konfigurim për t’u kopjuar, sepse emrat e ndërfaqeve, topologjia e tunelit dhe rrugët shtesë ndryshojnë sipas platformës dhe klientit.

default via 192.168.50.1 dev wlan0
0.0.0.0/1 via 10.8.0.1 dev tun0
128.0.0.0/1 via 10.8.0.1 dev tun0

E rëndësishme është marrëdhënia: dy gjysma konkrete mbi një të parazgjedhur të përgjithshme. Rreshti i portës së vjetër mbetet sepse asgjë nuk e zëvendësoi.

Kontrolloni cilën rrugë merr vërtet paketa

Rrugët më specifike mund të fitojnë ende: një rrugë për një interval privat, një nënrrjet lokal ose adresa e vetë serverit VPN është më e gjatë se një /1. Tuneli ka nevojë për një shteg të jashtëm drejt serverit të vet, dhe kthimi i asaj lidhjeje përsëri në tunel do ta thyente menjëherë. Në Linux pyesni kernelin në vend që ta lexoni tabelën me sy: ip route get me destinacionin që ju intereson shtyp rrugën e zgjedhur, ndërfaqen dhe burimin. Nëse është konfiguruar rrugëtim i bazuar në politika, shqyrtoni edhe rregullat, sepse një rregull mund të zgjedhë një tabelë tjetër para se të konsultohet ajo kryesore.

Nëse vetëm një pjesë e IPv4 sillet keq, konfirmoni që të dyja gjysmat janë instaluar dhe pastaj kërkoni një përjashtim që përputhet me destinacionin që dështon. Fshirja e rrugës së vjetër të parazgjedhur nuk është zgjidhje dhe heq rrugën që klientit i duhet për ta çmontuar pastër tunelin.

Çfarë nuk mbulon def1

Dy zëra IPv4 nuk thonë asgjë për IPv6: një host me lidhshmëri IPv6 vazhdon të përdorë të parazgjedhurën e vet derisa diçka ta ridrejtojë atë familje veçmas, prandaj në një rrjet me dy shtresa një pjesë e trafikut duket se e anashkalon tunelin. Klientë dhe menaxherë të tjerë rrjeti e zbatojnë rrugëtimin e tunelit të plotë ndryshe, dhe tabelat e tyre nuk do të përputhen. Sjellja e def1 e përshkruar këtu i përket flamurit të dokumentuar të OpenVPN, jo çdo VPN-je në makinë.

Një çelës ndalimi përgjigjet një pyetjeje tjetër: çfarë bën makina kur bie tuneli. Përparësia e rrugëve vendos ku shkon trafiku sa kohë tuneli është lart; nuk vendos çfarë bën më pas një firewall. Rendi i punës: lexoni tabelën, konfirmoni që ekzistojnë të dyja gjysmat, ekzekutoni ip route get për destinacionin që dështon, kontrolloni rregullat e politikës dhe pastaj shikoni IPv6 veçmas. Lini rrugën e vjetër të parazgjedhur aty ku është.