Kuelekeza wateja wa OpenVPN kupitia Cloudflare? Kwanza angalia jukumu
Mteja wa kifaa si kipanga njia. Thibitisha kwamba jukumu la Cloudflare linasambaza paketi za wenyeji wengine, kisha weka handaki ya seva yenyewe kwenye njia yake ya zamani.
Una OpenVPN seva inayofanya kazi na mwenyeji anayeendesha pia programu ya kifaa ya Cloudflare, na hatua inayofuata inayoonekana wazi inaonekana kama kuelekeza trafiki ya wateja kwake. Miunganisho miwili inayofanya kazi kwenye mashine moja haifanyi lango la upitishaji. Kinachokosekana ni jukumu lililoandikwa kwa ajili ya kusambaza paketi zinazomilikiwa na mtu mwingine, na sera inayozipanga paketi hizo zinapofika.
Kabla ya kanuni yoyote kuna maswali manne: ni trafiki gani inaingia, inaenda wapi baadaye, majibu yanaipataje njia ya kurudi, na muundo unafanya nini pale njia hiyo ya pili inaposhindikana. Mawili ya kwanza ni maswali ya uwezo.
Huduma mbili kwenye mwenyeji mmoja si njia ya upitishaji
Mteja wa kifaa ameundwa kushughulikia trafiki inayotokea kwenye mashine anayoendesha. Ananasa utatuzi wa majina, au trafiki teule ya programu, na kuituma kupitia handaki yake mwenyewe, na sera yake imeandikwa kwa mtumiaji wa kifaa hicho na michakato ya kifaa hicho. Paketi inayosambazwa kutoka kwa mteja wa OpenVPN si pato la ndani, kwa hivyo kanuni zile zile haziipangi. Hii si maelezo ya usanidi ambayo unaweza kuifunika kwa kanuni pana zaidi, kwa sababu inaamua kama programu inaiona paketi hiyo hata kidogo.
Ndiyo sababu swali la muundo ni swali la uwezo. Ama bidhaa iliyosakinishwa ina jukumu lililoandikwa linalosambaza trafiki kwa mitandao mingine, ama kazi ya upitishaji ni ya mahali pengine kabisa.
Jukumu gani la Cloudflare linaruhusiwa kusambaza
Mteja wa kifaa wa Cloudflare hutoa hali zinazotofautiana kwa wigo: utatuzi wa majina tu, trafiki kutoka kwenye kifaa, na wakati mwingine zote mbili. Hakuna hali yoyote kati ya hizo inayomfanya mwenyeji kuwa kipanga njia kwa safu ya kibinafsi inayokuja kupitia handaki nyingine. Jukumu maalum la upangaji ni bidhaa tofauti yenye kiunganishi chake, usajili wake na muundo wake wa mtandao.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Angalia jukumu lililosakinishwa kabla ya kubuni njia kuzunguka. Soma ni kiolesura gani kiunganishi kinaunda, kama kinatangaza viambishi maalum au njia chaguo-msingi, na kama sera ya ndani inatumika kwa paketi zinazosambazwa na zile za ndani pia. Ikiwa trafiki ya ndani pekee inashughulikiwa, seva ya OpenVPN haiwezi kuwa sehemu ya upitishaji, jinsi gani kanuni ya tafsiri ilivyoandikwa.
Hapa pia hitaji la kutoka kwa umma linapaswa kutamkwa kwa usahihi. Kutoka kunakotolewa na Cloudflare kwa trafiki ya wateja inayosambazwa ni kisa maalum cha matumizi, na lazima kithibitishwe dhidi ya huduma uliyo nayo kweli.
Weka handaki ya nje huru kutoka kwa njia mpya
Wakati unaongeza njia chaguo-msingi kuelekea kiolesura kipya, trafiki ya kutoka ya seva yenyewe huanza kushindania hiyo, na hiyo inajumuisha majibu kwa wateja wa OpenVPN na kikao chako cha SSH kwenye mashine. Dalili ya kawaida ni handaki inayojianzisha kisha kufa, au msimamizi aliyezuiwa nje wakati mabadiliko yanaonekana kufanya kazi. Linganisha ip route get kwa sehemu ya mwisho kabla na baada, na tumia upangaji wa njia kwa msingi wa sera au njia ya mwenyeji ili kuweka usafirishaji wa seva yenyewe mahali ulipokuwa. Fanya ulinganisho huo kutoka kwenye mashine yenyewe, kwa sababu mtazamo wa seva yenyewe kuhusu njia yake ndio unaohesabika.
Msamaha kwa anwani ya umma ya seva hautoshi peke yake, kwa sababu njia ya kurudi ya kila msimamizi wa mbali ni mkondo tofauti. Amua ni ipi kati ya mikondo hiyo inapaswa kustahimili mabadiliko, kisha thibitisha kila mmoja badala ya kudhani ya kwanza inashughulikia mengine.
Weka usambazaji na tafsiri kwenye mkondo mmoja
Paketi zinazopokelewa hufuata njia ya usambazaji, si njia ya pato la ndani, kwa hivyo kanuni muhimu inaishi kwenye ndoano ya forward. Mahali kiolesura kinachofuata kinahitaji tafsiri, weka chanzo kwenye dimbwi la wateja, lengwa kwenye kinachoruhusiwa na kutoka kwenye kiolesura kimoja hicho. Kanuni ya masquerade iliyofungwa kwenye kiolesura pekee haichagui njia yenyewe na hairuhusu usambazaji kupita kichujio kingine chochote.
Amua tabia ya kufunga inaposhindikana mapema, kisha uijaribu. Simamisha njia inayofuata na uthibitishe kwamba wateja wanapoteza kutoka kunakokusudiwa badala ya kurudi kimyakimya kwenye kiungo cha juu cha kawaida, kwa sababu hiyo ndiyo matokeo ambayo hakuna anayegundua hadi trafiki ianze kutoka kwa mlango usiofaa. Rudia ukaguzi wa utatuzi wa majina na wa IPv6, kwa sababu seti ya kanuni za v4 pekee huacha njia ya v6 wazi.
Andika majibu manne uliyokaa nayo na uchunguzi unaothibitisha kila moja. Njia ya upitishaji unayoweza kuieleza ni ile unayoweza kuilinda kwenye mapitio ya matukio yajayo.