Po nisni një klient VPN përmes SSH? Fillimisht fiksoni rrugën tuaj

Hyni me SSH në një host ndërtimi, nisni atje klientin VPN, dhe sesioni ndalon së përgjigjuri. Asgjë nuk u rrëzua, dhe asgjë nuk duket e konfiguruar gabimisht në kuptimin e dukshëm. Klienti instaloi një rrugë të paracaktuar, kështu që përgjigjet drejt stacionit tuaj të punës tani dalin përmes tunelit, ku adresa e stacionit tuaj të punës nuk është e rrugëtueshme. Pjesa interesante është se ky rezultat ishte i parashikueshëm, dhe rregullimi është një rrugë e shkruar përpara se klienti të nisë. Supozojmë një server me një kartë të vetme rrjeti, një portë 192.0.2.254, dhe një administrator që lidhet nga 203.0.113.9.

Regjistroni rrugën përpara se të filloni

ip route show default emërton portën dhe ndërfaqen aktuale, ndërsa ip route get 203.0.113.9 tregon se cilën ndërfaqe dhe adresë burimore do të përdorte bërthama për sesionin tuaj. Ruani të dyja daljet. Pasi tuneli të ngrihet, ato dy komanda duhet të përshkruajnë ende rrugën fizike, dhe nëse përshkruajnë tunelin, sesioni tashmë jeton në kohë të huazuar.

Rëndësi ka lidhja e vendosur tashmë, prandaj mos vërtetoni vetëm me një hyrje të re. Një sesion i ri mund të ketë sukses për pak kohë falë një gjendjeje që e vjetra nuk e ka më.

Fiksoni adresën në konfigurimin e vetë klientit

Një rrugë e shtuar me dorë zhduket gjatë rinisjes dhe garon me përditësimet e tabelës të vetë klientit, prandaj vendosni përjashtimin aty ku menaxhohet tabela. Në OpenVPN fjala kyçe net_gateway zgjidhet në portën që ekzistonte përpara tunelit, kështu që route 203.0.113.9 255.255.255.255 net_gateway mban saktësisht një adresë jashtë tij. WireGuard kërkon një qasje tjetër sepse wg-quick i menaxhon vetë rrugët: vendosni Table = off dhe shtoni përjashtimin në PostUp, me një PostDown përkatës që e heq atë. Të dyja format shprehin të njëjtin synim, dhe të dyja e kufizojnë përjashtimin në një adresë në vend që të dobësojnë tunelin për gjithçka.

Për IPv6 e njëjta ide merr një parashtesë të një hosti të vetëm, dhe rasti i transportit të mbështjellë meriton të mbahet mend: nëse lidhja e jashtme e vetë tunelit jeton në një adresë fikse, ajo adresë duhet të mbetet jashtë tunelit që mbart, përndryshe klienti e drejton transportin e vet në vetvete.

Ose nxirrni tabelën kryesore nga ekuacioni

Kur disa shërbime në host duhet të ruajnë rrugën e tyre normale, ndaloni së redaktuarit tabelën kryesore dhe jepini klientit të vetën. Një hapësirë emrash rrjeti me një çift veth e bën këtë pastër: rruga e paracaktuar e klientit jeton në një stivë tjetër dhe vetëm proceset e nisura brenda saj përdorin tunelin. Rrugëtimi me politika arrin në një vend të ngjashëm për një destinacion, duke dërguar trafikun që përputhet në një tabelë të dedikuar, e cila e ka të paracaktuarën ende duke treguar portën fizike. Secila prej qasjeve e lë tabelën kryesore të hostit pa një rrugë të paracaktuar të re, dhe është pikërisht kjo veti që mban SSH duke u përgjigjur.

Të dyja janë më shumë mekanizëm sesa një rrugë e vetme hosti, dhe të dyja ia vlejnë kur më shumë se një gjë në makinë duhet t'i mbijetojë tunelit.

Supozoni se fiksimi mund të dështojë

Një rrugë e lidhur me adresën tuaj publike aktuale thyhet në momentin që ofruesi juaj e ricakton atë. Një server i largët ka atëherë nevojë për një rrugë që nuk varet nga ajo adresë: një konsolë, një ndërfaqe e dytë menaxhimi, ose një host kërcimi që mbetet jashtë tunelit.

Dy masa mbrojtëse kushtojnë dhjetë minuta. Një rojtar që ndalon klientin nëse një hyrje konfirmimi nuk shfaqet brenda disa minutave e shndërron bllokimin në vonesë, dhe një sesion i dytë SSH i mbajtur hapur gjatë ndryshimit provon se përjashtimi funksionon ndërsa tuneli është lart. Vetëm keepalive nuk ndihmojnë këtu, sepse rruga ka humbur dhe nuk është e papunë; ato thjesht e bëjnë vdekjen më të lehtë për t'u vënë re.

Verifikoni në rendin që ka rëndësi

Lidhni tunelin, konfirmoni që rruga drejt adresës tuaj del ende përmes portës fizike, pastaj hapni një sesion të ri. Nëse sesioni i ri funksionon dhe ai i vjetri vdes gjithsesi, shkaku është ndjekja e lidhjeve ose një firewall me gjendje dhe jo rrugëtimi, që është një rregullim tjetër.

Shkruani adresën e fiksuar dhe komandën që e vërtetoi në regjistrin e ndryshimeve. Personi i radhës që nis një klient në atë host do t'i ketë nevojë për të dyja, dhe adresa mund të jetë ndryshuar deri atëherë.