Усмеравати OpenVPN клијенте кроз Cloudflare? Прво проверите улогу
Клијент на уређају није рутер. Потврдите да улога Cloudflare прослеђује пакете других хостова, па задржите сопствени тунел сервера на старој путањи.
Имате исправан OpenVPN сервер и хост који такође покреће Cloudflare софтвер за уређаје, а очигледан следећи корак изгледа као усмеравање клијентског саобраћаја ка њему. Две исправне везе на једном рачунару не чине транзитни гејтвеј. Недостаје улога документована за прослеђивање пакета који припадају неком другом, и политика која те пакете класификује када стигну.
Пре сваког правила долазе четири питања: који саобраћај улази, куда иде даље, како одговори проналазе пут назад и шта дизајн ради када та друга путања откаже. Прва два су питања способности.
Две услуге на једном хосту нису транзитна путања
Клијент на уређају направљен је да обрађује саобраћај који настаје на машини на којој ради. Пресреће разрешавање имена или изабрани саобраћај апликација и шаље га кроз сопствени тунел, а његова политика је написана за корисника тог уређаја и процесе тог уређаја. Пакет прослеђен са OpenVPN клијента није локални излаз, па га иста правила не класификују. То није детаљ конфигурације који можете прекрити ширим правилом, јер управо он одлучује да ли софтвер уопште види пакет.
Зато је питање дизајна питање способности. Или инсталирани производ има документовану улогу која прослеђује саобраћај за друге мреже, или транзитна функција припада сасвим другом месту.
Која Cloudflare улога сме да прослеђује
Cloudflare клијент за уређаје нуди режиме који се разликују по обиму: само разрешавање имена, саобраћај са уређаја и понекад обоје. Ниједан од тих режима не претвара хост у рутер за приватни опсег који долази кроз други тунел. Наменска улога усмеравања је засебан производ са својим конектором, регистрацијом и мрежним моделом.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Проверите инсталирану улогу пре него што дизајнирате руте око ње. Прочитајте коју интерфејс конектор ствара, да ли оглашава одређене префиксе или подразумевану руту и да ли се локална политика примењује на прослеђене пакете као и на локалне. Ако се обрађује само локални саобраћај, OpenVPN сервер не може бити транзитна тачка, како год да је написано правило превођења.
Овде такође захтев за јавни излаз мора бити прецизно формулисан. Излаз који Cloudflare пружа за прослеђени клијентски саобраћај је посебан случај употребе и треба га потврдити према услузи коју заиста имате.
Држите спољни тунел независним од нове руте
У тренутку када додате подразумевану руту ка новом интерфејсу, сопствени одлазни саобраћај сервера почиње да се такмичи за њу, а то укључује одговоре OpenVPN клијентима и вашу SSH сесију ка машини. Уобичајен симптом је тунел који се успостави и затим умре, или администратор закључан споља док се чини да је промена успела. Упоредите ip route get за крајњу тачку пре и после и користите усмеравање засновано на политици или руту до хоста да задржите сопствени транспорт сервера тамо где је био. Извршите то поређење са саме машине, јер је сопствени поглед сервера на његову руту онај који је важан.
Изузетак за јавну адресу сервера није довољан сам по себи, јер је повратна путања сваког удаљеног администратора различит ток. Одлучите који од тих токова мора да преживи промену, па затим проверите сваки уместо да претпоставите да први покрива остале.
Ограничите прослеђивање и превођење на један ток
Примљени пакети следе путању прослеђивања, а не путању локалног излаза, па правило које је важно живи у forward куки. Где је следећем интерфејсу потребно превођење, ограничите извор на клијентски базен, одредиште на дозвољено и излаз на тај једини интерфејс. Правило masquerade везано само за интерфејс не бира руту само по себи и не дозвољава прослеђивање поред било ког другог филтера.
Одлучите понашање при затварању услед отказа унапред, па га затим тестирајте. Зауставите следећу путању и потврдите да клијенти губе предвиђени излаз уместо да се тихо врате на уобичајени узлазни канал, јер то је исход који нико не примети док саобраћај не почне да излази на погрешна врата. Поновите проверу за разрешавање имена и за IPv6, јер скуп правила само за v4 оставља путању v6 отвореном.
Запишите четири одговора на којима сте стали и запажање које сваки од њих доказује. Транзитна путања коју можете да опишете је она коју можете да браните на следећем прегледу инцидената.