Malango mawili, VPN moja: kwa nini OpenVPN huchagua kiungo cha juu kisicho sahihi

Viungo viwili vya juu, tunnel moja, na trafiki inatoka kupitia kile ambacho hukuchagua. Subneti za kibinafsi zinafikiwa, logi inaripoti muunganisho uliofanikiwa, na kiungo kilichopimwa ndicho kinachobeba. Hakuna kitu katika matokeo ya OpenVPN kinachotaja lango, kwa sababu mteja hakuwahi kuchagua moja. Ilifungua socket kwa anwani ya mbali na kuacha kernel iamue jinsi ya kufikia anwani hiyo.

Anwani ya tunnel si mwisho

Kuna njia mbili tofauti katika kila kipindi. Njia ya nje hubeba usafirishaji uliosimbwa hadi anwani ya umma ya seva. Njia ya ndani hubeba kila kitu seva inasukuma ndani ya tunnel, na kanuni za uelekezaji za moja hazina athari kwa nyingine.

Ingizo la remote katika wasifu linataja mwisho wa nje, kwa hiyo hiyo ndiyo anwani ya kufunga. Pia ni thamani inayobadilika jina la mwenyeji linapotatuliwa tofauti au wasifu unapoonyesha remote kadhaa.

Pata anwani ambayo mteja alipiga kwa kweli

Soma socket hai badala ya faili ya usanidi. Jedwali la socket linaonyesha peer ambayo mchakato uliunganishwa nayo kwa kweli, na hiyo ndiyo thamani ambayo ubaguzi lazima ulingane nayo. Wasifu unaweza kuhaririwa baada ya kipindi kuanza, na socket ndiyo ushahidi pekee wa kile kilichopigwa:

ss -tunp | grep -i openvpn
journalctl -u openvpn-client@work --no-pager | grep -i "Peer Connection Initiated"

Mstari wa logi unataja anwani na bandari ya peer wakati wa muunganisho. Ikiwa hailingani na wasifu, kitu kilicho mbele ya mteja kinaandika upya mwisho kabla muunganisho haujaanza.

Angalia pia familia ya anwani. Wasifu wenye rafu mbili unaweza kuunganisha kupitia IPv6 wakati ubaguzi wako unashughulikia IPv4 pekee, na kisha trafiki inafuata kanuni tofauti na ile uliyoandika. Vile vile hutumika kwa proksi inayojibu kwa niaba ya mwisho. Kesi zote mbili hutoa tunnel inayofanya kazi wakati njia yako haifanyi chochote.

Funga mwisho na usome mpangilio wa sera

Njia ya mwenyeji ni mahususi zaidi kuliko njia yoyote chaguomsingi. Kwa hiyo /32 ya anwani ya peer inashinda ndani ya jedwali linaloihifadhi. Umbo la kawaida hutaja lango na kifaa kwa uwazi:

ip route add 203.0.113.40/32 via 192.168.10.1 dev eth0

Njia hiyo inasaidia tu ikiwa utafutaji unafika kwenye jedwali hilo. Kanuni za sera hutathminiwa kwa mpangilio na mechi ya kwanza huamua, kwa hiyo kanuni inayotuma kila kitu kwenye jedwali la pili inaipita njia yako ya mwenyeji katika main. Soma kanuni kabla ya kudhani njia ni mamlaka:

ip rule show
ip route get 203.0.113.40

Uliza amri ya pili kwa anwani sawa ya chanzo au alama ambayo mteja hutumia wakati sera inategemea hizo. Inaripoti njia ambayo kernel ingechagua, ambayo ni ushahidi kuhusu utafutaji na si ushahidi kwamba socket hai inatumia njia hiyo.

Mwisho unaposogea

Jina la mwenyeji linalotatuliwa kwa anwani kadhaa hubatilisha /32 ya kudumu mara tu jibu linapobadilika. Wasifu wenye mistari kadhaa ya remote una tatizo sawa, kwa sababu mteja anaweza kutua kwenye yoyote. Sasisha njia kutoka kwa ndoano za mzunguko wa maisha za mteja mwenyewe badala ya kuiongeza kwa mkono. Skripti ya up inayosoma peer iliyojadiliwa na kufunga njia ya mwenyeji huweka ubaguzi sawa na ukweli, na skripti ya down inayolingana huiondoa.

Rekodi usasishaji mahali pale pale panapofanya usanidi mwingine wa uelekezaji wa mwenyeji. Njia inayokuwepo tu hadi kuwasha upya ijayo ni jaribio, si marekebisho.

Weka sera ya ndani kando

Kuhamisha njia ya nje hakutoi ufikiaji wa subneti mpya ya kibinafsi na hakubadilishi ni maeneo gani seva inasukuma ndani ya tunnel. Njia ya tabaka la chini huchagua waya; njia zilizosukumwa huchagua kinachoingia kwenye tunnel. Kuweka maamuzi hayo mawili kando ndiko kunafanya mgawanyiko utabirike.

Ikiwa lengo ni kuweka usafirishaji uliosimbwa mbali na kiungo kilichopimwa, acha njia chaguomsingi na ongeza ubaguzi mmoja wa mwenyeji. Kubadilisha njia chaguomsingi ya mashine yote ili kuhamisha muunganisho mmoja wa VPN huvunja kila programu nyingine kwenye mwenyeji.

Thibitisha matokeo kwa uchunguzi mbili huru: anwani ya ndani na kifaa cha socket, na njia ambayo mwisho wa kibinafsi unatatuliwa. Wakati zote mbili zinalingana na nia yako, mgawanyiko ni wa kweli. Mwongozo wa OpenVPN 2.6 unashughulikia chaguo za remote na ufungaji wa ndani zinazoamua anwani ambayo mteja anapiga.