Dy porta, një VPN: pse OpenVPN zgjedh lidhjen e gabuar të sipërme

Dy lidhje të sipërme, një tunel, dhe trafiku del përmes asaj që nuk zgjodhët. Nënrrjetet private janë të arritshme, regjistri raporton një lidhje të suksesshme, dhe është lidhja e matur ajo që e mbart. Asgjë në daljen e OpenVPN nuk përmend një portë, sepse klienti nuk zgjodhi kurrë një. Ai hapi një socket drejt një adrese të largët dhe la bërthamën të vendosë si të arrihet ajo adresë.

Adresa e tunelit nuk është pika fundore

Në çdo sesion ekzistojnë dy rrugë të ndryshme. Rruga e jashtme mbart transportin e kriptuar drejt adresës publike të serverit. Rruga e brendshme mbart gjithçka që serveri shtyn në tunel, dhe rregullat e rrugëzimit për njërën nuk kanë efekt mbi tjetrën.

Hyrja remote në profil emërton destinacionin e jashtëm, pra ajo është adresa që duhet fiksuar. Është gjithashtu vlera që ndryshon kur një emër host-i zgjidhet ndryshe ose profili liston disa remote.

Gjeni adresën që klienti thirri vërtet

Lexoni socket-in e gjallë në vend të skedarit të konfigurimit. Tabela e socket-ëve tregon peer-in me të cilin procesi u lidh vërtet, dhe kjo është vlera me të cilën duhet të përputhet përjashtimi. Profili mund të redaktohet pas fillimit të sesionit, dhe socket-i është prova e vetme e asaj që u thirr:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Rreshti i regjistrit emërton adresën dhe portën e peer-it në momentin e lidhjes. Nëse nuk përputhet me profilin, diçka përpara klientit rishkruan destinacionin para se lidhja të fillojë.

Kontrolloni edhe familjen e adresave. Një profil me dy shtylla mund të lidhet përmes IPv6 ndërsa përjashtimi juaj mbulon vetëm IPv4, dhe atëherë trafiku ndjek një rregull tjetër nga ai që shkruat. E njëjta gjë vlen për një proxy që përgjigjet në emër të pikës fundore. Të dyja rastet prodhojnë një tunel që funksionon ndërsa rruga juaj nuk bën asgjë.

Fiksoni pikën fundore dhe lexoni rendin e politikës

Një rrugë host-i është më specifike se çdo rrugë e paracaktuar. Prandaj një /32 për adresën e peer-it fiton brenda tabelës që e përmban. Forma e zakonshme emërton shprehimisht portën dhe pajisjen:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Ajo rrugë ndihmon vetëm nëse kërkimi arrin në atë tabelë. Rregullat e politikës vlerësohen sipas rendit dhe përputhja e parë vendos, kështu që një rregull që dërgon gjithçka në një tabelë të dytë anashkalon rrugën tuaj host në main. Lexoni rregullat përpara se të supozoni se rruga është autoritative:

ip rule show
ip route get 203.0.113.40

Pyetni komandën e dytë me të njëjtën adresë burimi ose shenjë që klienti përdor kur politika varet prej tyre. Ajo raporton rrugën që bërthama do të zgjidhte, që është provë për kërkimin dhe jo provë se socket-i i gjallë përdor atë rrugë.

Kur pika fundore zhvendoset

Një emër host-i që zgjidhet në disa adresa e bën të pavlefshme një /32 të përhershme sapo përgjigjja ndryshon. Një profil me disa rreshta remote ka të njëjtin problem, sepse klienti mund të zbresë në cilindo prej tyre. Rifreskoni rrugën nga vetë hook-ët e ciklit të jetës së klientit në vend që ta shtoni me dorë. Një skript up që lexon peer-in e negociuar dhe instalon rrugën host mban përjashtimin në përputhje me realitetin, dhe një skript down që përputhet e heq atë.

Regjistroni rifreskimin në të njëjtin vend ku është pjesa tjetër e konfigurimit të rrugëzimit të host-it. Një rrugë që ekziston vetëm deri në rinisjen tjetër është provë, jo rregullim.

Mbani politikën e brendshme të ndarë

Zhvendosja e rrugës së jashtme nuk jep akses në një nënrrjet të ri privat dhe nuk ndryshon cilat destinacione serveri shtyn në tunel. Rruga e shtresës së poshtme zgjedh telin; rrugët e shtyra zgjedhin çfarë hyn në tunel. Mbajtja e këtyre dy vendimeve të ndara e bën ndarjen të parashikueshme.

Nëse qëllimi është vetëm mbajtja e transportit të kriptuar larg një lidhjeje të matur, lini rrugën e paracaktuar në paqe dhe shtoni përjashtimin e vetëm të host-it. Zëvendësimi i rrugës së paracaktuar të gjithë makinës për të zhvendosur një lidhje të vetme VPN prish çdo aplikacion tjetër në host.

Konfirmoni rezultatin me dy vëzhgime të pavarura: adresa lokale dhe pajisja e socket-it, dhe rruga në të cilën zgjidhet destinacioni privat. Kur të dyja përputhen me qëllimin tuaj, ndarja është reale. Manualja e OpenVPN 2.6 mbulon opsionet remote dhe të lidhjes lokale që vendosin se në cilën adresë klienti thirret.