இரண்டாவது VPN சுரங்கப்பாதை முதல் ஒன்றை ஏன் உடைக்கிறது?

ஒரு வாடிக்கையாளர் நெட்வொர்க்கை அடைய இரண்டாவது VPN வாடிக்கையாளரை நிறுவுவதே இது தொடங்கும் வழக்கமான வழி, இரண்டு வாடிக்கையாளர்களும் வெற்றியைத் தெரிவிக்கும்போது முதல் சுரங்கப்பாதை இருளாகிறது. ஒவ்வொரு வாடிக்கையாளரும் இயல்புநிலை வழியை நிறுவினர், இரண்டாவது மிகவும் குறிப்பிட்டதாக இருந்தது, இப்போது கர்னல் முதல் சுரங்கப்பாதையின் சொந்த வெளிப்புற இணைப்பைத் தவிர அனைத்திற்கும் அதைப் பின்பற்றுகிறது. எதுவும் செயலிழக்கவில்லை, எந்த சுயவிவரமும் தவறாக இல்லை. ஒரு வழி மற்றொன்றை மாற்றியது, தீர்வு எந்த சுரங்கப்பாதை இயல்புநிலையை வைத்திருக்க வேண்டும் என்பதைத் தீர்மானிப்பதாகும்.

அறிகுறி: இரண்டாவது வாடிக்கையாளர் அமைதியாக வெல்கிறார்

OpenVPN: redirect-gateway def1 விருப்பம் 0.0.0.0/0 ஐ மேலெழுதாது. அது 0.0.0.0/1 மற்றும் 128.0.0.0/1 ஐ சேர்க்கிறது: இரண்டும் சேர்ந்து ஒவ்வொரு IPv4 முகவரியையும் உள்ளடக்குகின்றன, ஒவ்வொரு முன்னொட்டும் நீளத்தில் சாதாரண இயல்புநிலையை வெல்கிறது. அசல் இயல்புநிலை அட்டவணையில் இருக்கும், சாதாரண போக்குவரத்துக்கு பயன்படுத்தப்படுவது நிற்கிறது, VPN சேவையகத்திற்கான ஹோஸ்ட் வழி சுரங்கப்பாதை அதன் சொந்த வெளிப்புற பாக்கெட்டுகளைப் பிடிப்பதைத் தடுக்கிறது. இரண்டு வாடிக்கையாளர்களும் இதைச் செய்கிறார்கள், இரண்டாவது தன் ஜோடியைப் பின்னர் நிறுவுகிறது.

அதனால்தான் முதல் சுரங்கப்பாதை துண்டிக்கப்பட்டதாக அல்ல, இறந்ததாகத் தெரிகிறது. அதன் இடைமுகம் மேலே உள்ளது, கட்டுப்பாட்டு சேனல் உயிருடன் உள்ளது, எந்த பயன்பாட்டுப் போக்குவரத்தும் இனி அதை அடையவில்லை. எதிர் புகாருக்கும் அதே காணாமல் போன push உள்ளது: இணைக்கும் ஆனால் எதையும் அனுப்பாத தொலைபேசி பொதுவாக redirect-gateway ஐ ஒருபோதும் அறிவிக்காத சேவையகத்துடன் பேசுகிறது, எனவே சாதனம் தன் இயல்புநிலையை வைத்துக்கொண்டு குளத்தை மட்டும் அடைகிறது.

இரண்டாவது வாடிக்கையாளர் இணைவதற்கு முன்பும் பின்பும் வழி ஸ்னாப்ஷாட் எடுக்கவும். அட்டவணையில் தோன்றும் இரண்டு அரை-வழிகளே முழு மாற்றம், அவை இரண்டு புகார்களையும் விளக்குகின்றன. அறிகுறி தோன்ற அட்டவணையில் வேறு எதுவும் நகர வேண்டியதில்லை. அதனால்தான் இரண்டாவது வாடிக்கையாளரை நீக்குவது முதல் ஒன்றை உடனடியாக மீட்டெடுக்கிறது.

எந்த சுரங்கப்பாதை உண்மையில் வெல்கிறது என்பதைப் படியுங்கள்

வாடிக்கையாளர்கள் தொடங்கிய வரிசையிலிருந்தோ அல்லது தட்டில் உள்ள ஐகானிலிருந்தோ வெற்றியாளரை ஊகிக்க வேண்டாம். இரு தனியார் நெட்வொர்க்குகளுக்கு வெளியே உள்ள இலக்குக்கு கர்னல் எந்த வழியைப் பயன்படுத்தும் என்று கேட்டு, திரும்பிய இடைமுகத்தைப் படியுங்கள்.

ip route show
ip route get 198.51.100.24
route print -4
Find-NetRoute -RemoteIPAddress 198.51.100.24

முதல் இரண்டு Linux இன் பதில், கடைசி இரண்டு Windows இன் சமமானவை. இரு சுரங்கப்பாதைகளும் மேலே இருக்கும்போது அவற்றை இயக்கவும், பின்னர் ஒன்றைத் துண்டித்து மீண்டும் இயக்கவும். இரு வெளியீடுகளுக்கு இடையிலான வேறுபாடே தீர்வைத் தேர்ந்தெடுக்கும் முன் தேவையான உண்மை, அது எந்த வாடிக்கையாளரின் பதிவையும் படிப்பதை விடக் குறைந்த நேரம் எடுக்கும்.

இடைமுகத்தின் பெயர் மற்றும் பொருந்திய முன்னொட்டுடன் முடிவைப் பதிவு செய்யவும். இரண்டாவது VPN முதல் ஒன்றை உடைத்தது என்று கூறும் டிக்கெட் அறிகுறியின் விளக்கம், யாரும் செயல்படக்கூடிய வழி அறிக்கை அல்ல. தேடல் அதை அடுத்த பொறியாளர் ஒரே கட்டளையில் மீண்டும் உருவாக்கக்கூடிய உண்மையாக மாற்றுகிறது.

Windows: ஒரு சுயவிவரம் இயல்புநிலையை வைத்திருப்பதைத் தடுக்கவும்

Windows சேமித்த சுயவிவரங்களை வைத்திருக்கிறது, உள்ளமைந்த வாடிக்கையாளர் ஒன்று மற்றொன்றைச் சார்ந்திருக்க அனுமதிக்கிறது, எனவே இரண்டாவது இணைக்கும்போது முதல் தானாக மேலே வருகிறது. கடைசியாக இணைந்த சுயவிவரம் இயல்புநிலையை வைத்திருக்கும் போக்கு உள்ளது, எனவே நடைமுறை உரிமையாளர் முதல் அல்ல, கடைசி இணைப்பு. ஒவ்வொரு சுயவிவரத்திற்கும் அதன் சொந்த push வழிகளைக் கொடுத்து, இயல்புநிலையை வைத்திருக்கக் கூடாத ஒன்றுக்கு split tunneling ஐ இயக்கவும்.

Set-VpnConnection -Name "Contoso" -SplitTunneling $true
rasdial Contoso

Split tunneling இதை மாற்றுகிறது: சேவையகம் push செய்த முன்னொட்டுகள் மட்டுமே அட்டவணைக்கு வருகின்றன, இது இயல்புநிலையை முதல் சுரங்கப்பாதையிடம் விட்டுவிடுகிறது. இரு சேவையகங்களும் இயல்புநிலை வழியை push செய்தால் வடிவமைப்பு இன்னும் தோல்வியடைகிறது, ஏனெனில் அப்போது கடைசி இணைப்பு வெல்கிறது, வாடிக்கையாளர் பக்க அமைப்பு எதுவும் அதை மாற்றாது. சேவையகப் பக்க push ஐச் சரிசெய்யவும் அல்லது ஒரு உரிமையாளரை ஏற்கவும்.

பயன்பாட்டால் தொடங்கப்படும் சுயவிவரங்கள் மற்றொரு அம்சம், தெரிந்துகொள்ளத் தகுந்தது: Windows சுயவிவரம் பெயரிடப்பட்ட இயக்கக்கூடிய கோப்பு தொடங்கும்போது தொடங்கலாம், போக்குவரத்து வடிகட்டிகள் என்ன எடுத்துச் செல்லும் என்பதைத் தீர்மானிக்கின்றன. இது firewall விதி அல்ல, சுயவிவர அமைப்பு, இயல்புநிலை வழி மோதலில் இருந்து வேறுபட்ட சிக்கலைத் தீர்க்கிறது.

Linux: இரண்டாவது சுரங்கப்பாதையை பிரதான அட்டவணைக்கு வெளியே வைக்கவும்

ஒரு இயந்திரத்தில் openvpn --config இன் இரண்டு நிகழ்வுகளை இயக்கினால் இரு வாடிக்கையாளர்களும் ஒரே அட்டவணைக்கு வருவார்கள், மூன்று விருப்பங்கள் அதிகரிக்கும் தனிமையுடன் அவர்களைப் பிரிக்கின்றன. மிக இலகுவானது இரண்டாவது வாடிக்கையாளர் அட்டவணையைத் திருத்தவே அனுமதிக்காதது: தெளிவான வழிகளுடன் route-nopull, அல்லது நீங்கள் நினைத்ததை மட்டும் நிறுவும் route-up ஸ்கிரிப்ட். பின்னர் இரண்டாவது சுரங்கப்பாதை நீங்கள் பெயரிடும் முன்னொட்டுகளை மட்டுமே எடுத்துச் செல்லும், வேறு எதையும் இல்லை. பின்னர் எந்த முன்னொட்டு எங்கே செல்ல வேண்டும் என்பதைப் பின்னர் கண்டுபிடிப்பதற்குப் பதிலாக நீங்களே முடிவு செய்கிறீர்கள்.

கொள்கை வழியாக்கம் நடுத்தர விருப்பம். ஒரு விதி ஒரு மூல முகவரி அல்லது firewall குறிக்கு தனி அட்டவணையைத் தேர்ந்தெடுக்கிறது, அந்த அட்டவணை இரண்டாவது சுரங்கப்பாதையின் வழிகளை எடுத்துச் செல்கிறது. தலைகீழ் பாதை வடிகட்டுதல் இங்கே பொறி, ஏனெனில் அட்டவணை தேர்ந்தெடுக்கும் இடைமுகத்திலிருந்து வேறுபட்ட இடைமுகத்தில் வரும் பதில் நிராகரிக்கப்படுகிறது, எனவே சுரங்கப்பாதை உடைந்தது என்று முடிவெடுக்கும் முன் rp_filter அமைப்பைச் சரிபார்க்கவும்.

ip rule add from 10.44.7.0/24 table 100
ip route add default dev tun1 table 100
sysctl net.ipv4.conf.all.rp_filter

பெயர்வெளிகள் மிகக் கனமான மற்றும் மிகச் சுத்தமான விருப்பம். இரண்டாவது வாடிக்கையாளரை ip netns உள்ளே தொடங்கி, அதற்கு veth ஜோடி கொடுத்து, பயன்படுத்த அந்த பெயர்வெளிக்குள் நுழையவும். ஒவ்வொரு பெயர்வெளியும் ஒன்றைப் பங்கிடுவதற்குப் பதிலாக தன் சொந்த அட்டவணைகளைக் கொண்டிருப்பதால் குறுக்கீடு மறைகிறது, இரு சுரங்கப்பாதைகளும் வாரக்கணக்கில் மேலே இருக்க வேண்டியிருக்கும்போது அந்த கூடுதல் அமைப்பு மதிப்புக்குரியது.

ஒவ்வொரு பயன்பாட்டிற்கும், மற்றும் சங்கிலி இணைப்பு தனிச் சிக்கலாக

சில நேரங்களில் ஒரு நிரல் மட்டுமே இரண்டாவது சுரங்கப்பாதையைப் பயன்படுத்த வேண்டும். Linux இல் பயனர், cgroup அல்லது போர்ட் வாரியாக கொள்கை வழியாக்கம் அந்த முடிவை அடைகிறது, ஒரு இலக்கை இயல்புநிலையைத் தீண்டாமலே இடைமுகத்தில் பொருத்தலாம். தன் சாக்கெட்டை ஒரு இடைமுகத்தில் பொருத்தும் பயன்பாடு வழி அட்டவணையை அடியோடு கேட்காது, எனவே அதன் சொந்த அமைப்புகளில் முகவரி தேர்ந்தெடுக்கப்படும் வரை துவக்கி இயற்பியல் அடாப்டரைத் தொடர்ந்து பயன்படுத்தலாம்.

சங்கிலி இணைப்பு இரு சுரங்கப்பாதைகளைப் பக்கத்துப்பக்கம் இயக்குவதிலிருந்து வேறுபட்ட செயல்பாடு. A ஐ B மீது சங்கிலியாக இணைப்பது என்பது உள் சேவையகத்தின் முகவரி வெளி சுரங்கப்பாதையின் உள்ளிருந்து அணுகக்கூடியதாக இருக்க வேண்டும். வெளி வாடிக்கையாளரும் உள் வாடிக்கையாளரின் மறைகுறியாக்கப்பட்ட பாக்கெட்டுகளை கசிவாகக் கருதக்கூடாது. மெய்நிகர் இயந்திரத்தில் ஒரு வாடிக்கையாளர் கரடுமுரடான ஆனால் நம்பகமான பதிப்பு; ஒரே ஹோஸ்ட்டில் இரண்டும் இருந்தால் மேலே உள்ள வழியாக்க வேலையுடன் உள் சுரங்கப்பாதையில் ஒருபோதும் நுழையாத வெளிப்புறப் பாதை தேவை.

இயல்புநிலையின் உரிமையாளர், ஒவ்வொரு சுரங்கப்பாதையும் எடுத்துச் செல்லும் முன்னொட்டுப் பட்டியல் மற்றும் DNS பாதையை எழுதவும். அந்த மூன்று உண்மைகள் அடுத்த நிகழ்வை விசாரணைக்குப் பதிலாகத் தேடலாக மாற்றுகின்றன.