Të drejtohen klientët OpenVPN përmes Cloudflare? Kontrolloni së pari rolin
Një klient pajisjeje nuk është router. Konfirmoni që roli i Cloudflare përcjell paketat e hosteve të tjera, pastaj mbani tunelin e vetë serverit në rrugën e tij të vjetër.
Keni një server OpenVPN që funksionon dhe një host që ekzekuton gjithashtu softuerin e pajisjes së Cloudflare, dhe hapi tjetër i dukshëm duket si drejtimi i trafikut të klientëve drejt tij. Dy lidhje që funksionojnë në një makinë nuk përbëjnë një portë tranziti. Ajo që mungon është një rol i dokumentuar për të përcjellë paketa që i përkasin dikujt tjetër, dhe një politikë që i klasifikon ato paketa kur mbërrijnë.
Para çdo rregulli vijnë katër pyetje: çfarë trafiku hyn, ku shkon më pas, si e gjejnë rrugën e kthimit përgjigjet dhe çfarë bën dizajni kur dështon ajo rruga e dytë. Dy të parat janë pyetje aftësie.
Dy shërbime në një host nuk janë rrugë tranziti
Një klient pajisjeje është ndërtuar për të trajtuar trafikun që origjinohet në makinën ku ekzekutohet. Ai intercepton zgjidhjen e emrave, ose trafikun e zgjedhur të aplikacioneve, dhe e dërgon përmes tunelit të vet, dhe politika e tij është shkruar për përdoruesin e asaj pajisjeje dhe proceset e asaj pajisjeje. Një paketë e përcjellë nga një klient OpenVPN nuk është dalje lokale, kështu që të njëjtat rregulla nuk e klasifikojnë. Ky nuk është një detaj konfigurimi që mund të mbulohet me një rregull më të gjerë, sepse vendos nëse softueri e sheh paketën fare.
Prandaj pyetja e dizajnit është pyetje aftësie. Ose produkti i instaluar ka një rol të dokumentuar që përcjell trafik për rrjetet e tjera, ose funksioni i tranzitit i përket një vendi krejt tjetër.
Cili rol i Cloudflare lejohet të përcjellë
Klienti i pajisjes i Cloudflare ofron mënyra që ndryshojnë në shtrirje: vetëm zgjidhja e emrave, trafiku nga pajisja dhe ndonjëherë të dyja. Asnjë prej këtyre mënyrave nuk e kthen hostin në router për një gamë private që vjen përmes një tuneli tjetër. Roli i dedikuar i drejtimit është një produkt i veçantë me lidhësin, regjistrimin dhe modelin e vet të rrjetit.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Kontrolloni rolin e instaluar përpara se të dizajnoni rrugë rreth tij. Lexoni cilën ndërfaqe krijon lidhësi, nëse shpall prefikse të caktuara apo një rrugë të paracaktuar, dhe nëse politika lokale zbatohet për paketat e përcjella njësoj si për ato lokale. Nëse trajtohet vetëm trafiku lokal, serveri OpenVPN nuk mund të jetë pika e tranzitit, sado që të shkruhet rregulli i përkthimit.
Këtu gjithashtu kërkesa për dalje publike duhet të formulohet me saktësi. Një dalje e siguruar nga Cloudflare për trafikun e klientëve të përcjellë është një rast specifik përdorimi, dhe duhet konfirmuar kundrejt shërbimit që keni vërtet.
Mbani tunelin e jashtëm të pavarur nga rruga e re
Në momentin që shtoni një rrugë të paracaktuar drejt ndërfaqes së re, trafiku dalës i vetë serverit fillon të konkurojë për të, dhe kjo përfshin përgjigjet për klientët OpenVPN dhe sesionin tuaj SSH drejt makinës. Simptomi i zakonshëm është një tunel që vendoset dhe pastaj vdes, ose një administrator i mbyllur jashtë ndërsa ndryshimi duket se ka funksionuar. Krahasoni ip route get për pikën fundore para dhe pas, dhe përdorni drejtim të bazuar në politikë ose një rrugë hosti për të mbajtur transportin e vetë serverit atje ku ishte. Kryeni atë krahasim nga vetë makina, sepse pikëpamja e vetë serverit për rrugën e tij është ajo që ka rëndësi.
Një përjashtim për adresën publike të serverit nuk mjafton në vetvete, sepse rruga e kthimit e çdo administratori në distancë është një rrjedhë tjetër. Vendosni cilat prej këtyre rrjedhave duhet t'i mbijetojnë ndryshimit, pastaj verifikoni secilën në vend që të supozoni se e para mbulon të tjerat.
Kufizoni përcjelljen dhe përkthimin në një rrjedhë të vetme
Paketat e marra ndjekin rrugën e përcjelljes, jo rrugën e daljes lokale, prandaj rregulli që ka rëndësi jeton në grepën forward. Ku ndërfaqja tjetër ka nevojë për përkthim, kufizoni burimin në grupin e klientëve, destinacionin në atë që lejohet dhe daljen në atë ndërfaqe të vetme. Një rregull masquerade i lidhur vetëm me një ndërfaqe nuk zgjedh vetë asnjë rrugë dhe nuk lejon përcjellje përtej asnjë filtri tjetër.
Vendosni paraprakisht sjelljen e mbylljes në rast dështimi, pastaj provojeni. Ndalni rrugën tjetër dhe konfirmoni që klientët humbasin daljen e synuar në vend që të kthehen në heshtje në lidhjen e zakonshme lart, sepse ky është rezultati që askush nuk e vë re derisa trafiku të dalë nga dera e gabuar. Përsëritni kontrollin për zgjidhjen e emrave dhe për IPv6, sepse një grup rregullash vetëm për v4 lë një rrugë v6 të hapur.
Shkruani katër përgjigjet me të cilat u ndalët dhe vëzhgimin që vërteton secilën. Një rrugë tranziti që mund ta përshkruani është një që mund ta mbroni në rishikimin e ardhshëm të incidenteve.