OpenVPN redirect-gateway: çfarë bën çdo flamur me rrugët

Lidhu me redirect-gateway në profil, dhe rruga e parazgjedhur e makinës tënde mund të zhduket, të ndahet në dy ose të mbetet pikërisht aty ku ishte, në varësi të flamujve që askush nuk i lexon dy herë. Opsioni ndryshon vetëm gjendjen e rrugëzimit dhe asgjë tjetër, prandaj prova e vetme e besueshme për atë që bëri është tabela që klienti instaloi më pas. Ajo që vijon është tabela pas një lidhjeje, rruga që mban gjallë vetë tunelin dhe trafiku IPv6 që direktiva nuk pretendon kurrë ta mbulojë. Çdo hap është një komandë që mund ta ekzekutosh në klient ndërsa tuneli është aktiv.

Çfarë bën çdo flamur me rrugën e parazgjedhur

Pa asnjë flamur, opsioni heq rrugën e zakonshme të parazgjedhur dhe vendos tunelin në vend të saj, kështu që porta e vjetër zhduket nga tabela ndërsa lidhja është aktive. Shto def1 dhe ajo e parazgjedhura mbetet në listë, ndërsa dy rrugë më të ngushta e bëjnë punën. Shto bypass-dhcp dhe edhe rruga DHCP mbijeton, gjë që ka rëndësi në një rrjet ku klienti duhet ende të arrijë serverin lokal DHCP. Lista e flamujve në faqen e manualit të OpenVPN 2.6 është mjaft e shkurtër për t'u lexuar një herë, dhe çdo zë ndryshon cilat rrugë përfundojnë në tabelë.

Një opsion i shtyrë sillet njësoj kur arrin, prandaj profili i klientit mund të mos përmbajë asgjë ndërsa tabela duket plotësisht e ridrejtuar. Kjo është normale: serveri dërgoi flamujt, klienti i zbatoi dhe skedari lokal nuk e përmendi kurrë direktivën. Kur një shtytje duket se nuk bën asgjë, kontrollo filtrin në anën e klientit që pranon ose hedh poshtë opsionet e tërhequra, sepse një opsion i hedhur poshtë nuk shkakton gabim në asnjërën anë.

def1 fiton me specifikë pa prekur rrugën tënde të parazgjedhur

Dy rrugë gjysmë të parazgjedhura së bashku mbulojnë hapësirën IPv4, 0.0.0.0/1 dhe 128.0.0.0/1. Secila është më specifike sesa 0.0.0.0/0, prandaj një kërkim i preferon ato ndërsa rruga e vërtetë e parazgjedhur mbetet në tabelë për çdo gjë që kërkon përputhjen më pak specifike.

Lexo tabelën, jo profilin, sepse vetëm tabela tregon në cilin prej këtyre rasteve je. Dy rreshta mjaftojnë për t'i dalluar:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Vëre ndërfaqen dhe metrikën në çdo rresht, jo vetëm destinacionin. Një rrugë e parazgjedhur që tregon tunelin dhe një çift gjysmë të parazgjedhurash që tregojnë tunelin përshkruajnë të njëjtin qëllim dhe dështojnë ndryshe kur tuneli bie, sepse në një rast rruga rezervë ekziston ende. Shkruaj të dyja fushat në shënimin e ndryshimit. Një rrugë rezervë që mbijeton ndonjëherë është ajo që mban një sesion të largët gjallë mjaft gjatë për të riparuar tunelin, dhe është po ajo që rrjedh trafikun kur qëllimi ishte një tunel i plotë.

Mbaj pikën fundore të tunelit të arritshme

Klienti ka nevojë për një rrugë drejt skajit të largët të tunelit që nuk kalon vetë nëpër tunel. OpenVPN e instalon atë rrugë pritësi përpara se të ndryshojë çdo gjë tjetër, dhe një redaktim manual i rrugëve ose një klient i dytë VPN mund ta heqin. Simptoma pas kësaj është një lidhje që raporton se është e lidhur dhe më pas nuk kalon asgjë.

Pyet kernelin se cilën ndërfaqe do të përdorte për adresën e pikës fundore ndërsa tuneli është aktiv. Përgjigja duhet të përmendë ndërfaqen fizike dhe portën e saj, kurrë tun0:

ip route get 198.51.100.20

Nëse ai kërkim kthen pajisjen e tunelit, tuneli po mbart transportin e vet dhe do të shembet sapo një paketë duhet të dalë. Prefikset lokale, një përshtatës i dytë dhe rrugëzimi i bazuar në politikë vazhdojnë të kenë rëndësi këtu, prandaj një ridrejtim që funksionon në një laptop të pastër mund të dështojë në një host me ndërfaqe administrimi dhe dy rrugë të parazgjedhura. Zakonisht fajësohet profili për atë që bëri plani i adresave.

Trafiku IPv6 vazhdon të përdorë tabelën e vet

Ridrejtimi i IPv4 e lë IPv6 të qetë, dhe dy familjet ndryshohen nga flamuj të ndryshëm. Në një host me dy steka dhe një të parazgjedhur v6 që funksionon, trafiku v4 mund të qëndrojë plotësisht brenda tunelit ndërsa çdo destinacion i aftë për v6 del përmes lidhjes fizike. Një host që duket i saktë në një tabelë rrjedh në tjetrën.

Kontrollo tabelën v6 pas lidhjes në vend që të supozosh se tuneli e mbuloi. Direktiva mbart flamujt e familjes së adresave pikërisht për këtë arsye, dhe një profil që i lë jashtë trashëgon atë që platforma bën si parazgjedhje:

ip -6 route show default
ip -6 route get 2001:db8::10

Vërteto cilën ndërfaqe përdor një aplikacion

Një gjendje e lidhur nuk është bllokim, dhe një ndryshim rruge nuk është çelës ndalimi. Nëse trafiku i drejtpërdrejtë duhet të ndalet kur tuneli dështon, ajo politikë jeton në murin e zjarrit dhe kërkon provën e vet.

Provo shtegun që ndjek vërtet një aplikacion, jo shtegun që përshkruan profili. Kërko fillimisht rrugën, pastaj lidh një kërkesë me çdo ndërfaqe me radhë dhe krahaso çfarë raporton ana e largët:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Nëse të dyja kërkesat kthejnë të njëjtën adresë, aplikacioni nuk po përdor tunelin edhe pse tabela e rrugëzimit thotë se duhet. Nëse ka sukses vetëm kërkesa e lidhur me tunelin, shtegu fizik është filtruar për atë destinacion dhe tuneli po bën atë që kërkove. Shkruaj flamujt, rrugët e instaluara, kërkimin e pikës fundore dhe të dy rezultatet e daljes në regjistrin e ndryshimeve, që personi tjetër të trashëgojë fakte në vend të një pamjeje ekrani.