தனி வெளியேற்றம்: usb0 இல் VPN குளம், eth0 இல் கேட்வே போக்குவரத்து

வாடிக்கையாளர்கள் இணைந்து அங்கீகாரம் பெறுகிறார்கள், பிறகு அவர்களின் போக்குவரத்து தவறான மேல் இணைப்பு வழியாக வெளியேறுகிறது, ஏனெனில் இயந்திரத்தில் உள்ள ஒரே இயல்புநிலை வழி கேட்வேயின் சொந்தமானது. அந்த இயல்புநிலையை மாற்றினால் இயந்திரத்தின் சொந்த புதுப்பிப்புகளும் நிர்வாக அணுகலும் உடையும், எனவே தேர்வு «எல்லா போக்குவரத்து»வை விட குறுகியதாக இருக்க வேண்டும். வேலை செய்யும் வடிவம் வாடிக்கையாளர் குளத்தின் உள் மூல முகவரியை அடிப்படையாகக் கொண்ட கொள்கை விதியாகும், இது மாற்று WAN ஐக் கொண்ட இரண்டாவது வழிப்பாதை அட்டவணையை நோக்கி சுட்டுகிறது. அங்கிருந்து சரிபார்ப்புப் பட்டியல் விதியைப் பற்றியது அல்ல, முழுமை மற்றும் தோல்வியின் போது நடத்தை பற்றியது.

மூல முகவரி வழிப்பாதை முடிவு வரை நீடிக்கிறதா என்பதை உறுதிப்படுத்துங்கள்

மூல வரம்புடன் பொருந்தும் கொள்கை விதி, தேடல் நேரத்தில் பாக்கெட் அந்த மூலத்தை இன்னும் சுமக்கும்போது மட்டுமே செயல்படும். முன்னனுப்பப்பட்ட வாடிக்கையாளர் போக்குவரத்து அவ்வாறு செய்கிறது, வழிப்பாதைக்கு முன் மேலே எதுவும் அதை மீண்டும் எழுதாத வரை. கேட்வே தானே உருவாக்கும் போக்குவரத்து அவ்வாறு செய்யாது, அதனால்தான் கேட்வேயின் சொந்த இயல்புநிலை அதன் இடத்திலேயே இருக்க முடியும்.

இங்குதான் உள்ளூர் சோதனைகள் திசைதிருப்புகின்றன. கேட்வேயில் இயக்கப்படும் curl என்பது கேட்வேயின் முகவரியுடன் உள்ளூரில் உருவாக்கப்பட்ட ஓட்டம், எனவே அது முதன்மை அட்டவணையை எடுத்து வாடிக்கையாளர் பாதையைப் பற்றி எதையும் நிரூபிக்கவில்லை. இணைக்கப்பட்ட வாடிக்கையாளரிடமிருந்து சோதிக்கவும், அல்லது குளத்திற்கு உண்மையில் சொந்தமான மூலத்துடன் போக்குவரத்தை உருவாக்கவும்.

உண்மையான மதிப்புகளை எழுதுவதன் மூலம் தொடங்குங்கள்: குள முன்னொட்டு, அதைச் சுமக்கும் சுரங்கப்பாதை இடைமுகம், இரண்டாவது WAN இன் முகவரி மற்றும் அடுத்த தாவல், மற்றும் நீங்கள் பயன்படுத்த விருக்கும் அட்டவணை எண். புதிய விதிகளைச் சேர்ப்பதற்கு முன் எந்தவொரு முந்தைய முயற்சியின் பழைய விதிகளையும் அழிக்கவும், ஏனெனில் வெவ்வேறு முன்னுரிமைகளில் நகலெடுக்கப்பட்ட விதிகள் சீரற்றதாகத் தோன்றும் தோல்விகளை உருவாக்குகின்றன.

முழுமையான தேர்ந்தெடுக்கப்பட்ட அட்டவணையை உருவாக்குங்கள்

அட்டவணை என்பது ஒரு நண்பருடன் கூடிய இயல்புநிலை வழி அல்ல. ஒவ்வொரு தேடலும் அதற்குள் தீரும் அளவுக்கு வழிகள் தேவை, அடுத்த தாவல் அடையக்கூடியதாக இருக்க WAN துணைநெட்வொர்க்கின் இணைக்கப்பட்ட வழியும் உட்பட. tun1 இல் 10.77.0.0/24 குளம், அடுத்த தாவல் 203.0.113.1 கொண்ட WAN முகவரி 203.0.113.20/24, மற்றும் அட்டவணை 600 க்கு:

ip -4 route replace 203.0.113.0/24 dev usb0 src 203.0.113.20 table 600
ip -4 route replace 10.77.0.0/24 dev tun1 table 600
ip -4 route replace default via 203.0.113.1 dev usb0 table 600
ip -4 rule add priority 1500 from 10.77.0.0/24 lookup 600

விதி ஏற்கனவே உள்ள எதையும் பிடிக்கும் எந்த விதிக்கும் கீழான முன்னுரிமையில் அமர்ந்துள்ளது, எனவே பொருந்தும் வாடிக்கையாளர்கள் முதலில் அட்டவணை 600 ஐ அடைகிறார்கள், மற்ற அனைத்தும் முதன்மை அட்டவணைக்கு விழும். ip-rule குறிப்பு வரிசைப்படுத்தப்பட்ட தேடல் மாதிரியையும் தேர்வியின் இலக்கணத்தையும் முழுமையாக விவரிக்கிறது.

பிறகு அட்டவணையில் இல்லாததைப் பற்றி சிந்தியுங்கள். முதன்மையில் மட்டும் வழி உள்ள இலக்கு, எடுத்துக்காட்டாக eth0 வழியாக அடையக்கூடிய நிர்வாக துணைநெட்வொர்க், அட்டவணை 600 இல் கிடைக்காது, அங்கு இயல்புநிலை இருந்தால் முதன்மைக்கும் திரும்பாது. அந்தப் பாதைகள் முக்கியம் என்றால் அவற்றை வெளிப்படையாக தேர்ந்தெடுக்கப்பட்ட அட்டவணையில் சேர்க்கவும், இது VPN வெளியேற்ற அட்டவணைக்கு பொதுவாக சரியான பதில்.

கேட்பவரின் சொந்த போக்குவரத்தைக் கொள்கைக்கு வெளியே வைத்திருங்கள்

OpenVPN கேட்பவருக்கு சொந்த வெளிப்புற இணைப்பு உள்ளது, வாடிக்கையாளர் அதை அடைந்த மேல் இணைப்பின் மேல் அது சுமக்கப்படுகிறது. அந்தப் போக்குவரத்து வந்த திரும்பும் பாதையைத் தக்கவைத்திருக்க வேண்டும், சேவையகத்தின் பொது முகவரி அல்லது முழு சுரங்கப்பாதை இடைமுகத்தையும் உள்ளடக்கும் பரந்த விதி அதை மாற்று அட்டவணைக்கு இழுக்கலாம். விதியை உள் குளத்திற்கு மட்டும் வரம்பிடுங்கள், வேறு எதற்கும் அல்ல.

திருப்புப் பாதை வடிகட்டலும் அதே காரணத்திற்காகப் பார்க்கத் தகுந்தது. வாடிக்கையாளர்களுக்கான பதில்கள் usb0 வழியாகச் செல்லும்போது கோரிக்கை வேறு இணைப்பு வழியாக வந்திருந்தால், கடுமையான rp_filter அமைப்பு வழிப்பாதைக் கொள்கை செல்லுபடியாகக் கருதும் பாக்கெட்டுகளைத் தூக்கி எறியலாம். விதி தோல்வியடைந்தது என்று முடிவெடுப்பதற்கு முன் இரு இடைமுகங்களிலும் உள்ள செயல்படும் sysctl மதிப்புகளைச் சரிபார்க்கவும்.

இயந்திரத்தில் உள்ள மற்ற எல்லாவற்றுடன் ஒப்பிடும்போதும் வரிசை முக்கியம். Docker பாலங்கள், இரண்டாவது VPN மற்றும் வழங்குநர் இமேஜிலிருந்து ஏற்கனவே உள்ள எந்த விதிகளும் முன்னுரிமைகளைச் சேர்க்கின்றன, எனவே முன்னுரிமை 100 தனியாக உள்ளது என்று கருதுவதற்குப் பதிலாக முழு விதிப் பட்டியலையும் படியுங்கள்.

முன்னனுப்புதலும் மொழிபெயர்ப்பும் வழியுடன் ஒத்துப்போகச் செய்யுங்கள்

வழிப்பாதை ஒரு மேல் இணைப்பைத் தேர்ந்தெடுக்கிறது; அது முன்னனுப்ப அனுமதி தராது. கர்னலில் IPv4 முன்னனுப்புதல் இயக்கப்பட்டிருக்க வேண்டும், தீவரிச் சுவர் வாடிக்கையாளரிலிருந்து WAN நோக்கிய திசையையும் திரும்பும் போக்குவரத்தையும் ஏற்க வேண்டும். ஓட்டத்தை வீழ்த்தும் FORWARD சங்கிலியுடன் கூடிய சரியான அட்டவணை விடுபட்ட வழியைப் போன்ற அதே அறிகுறியைத் தருகிறது, எனவே இரண்டும் ஒரே கட்டத்தில் சரிபார்க்கப்படுகின்றன.

இரண்டாவது WAN தனிப்பட்ட குளத்தை உங்களை நோக்கி மீண்டும் வழிப்பாதையாக்காது என்றால், அந்த வெளியேற்றத்தில் மூலத்தை மொழிபெயர்க்கவும். மாறும் முகவரி கொண்ட இடைமுகத்திற்கு குளத்திற்கும் இடைமுகத்திற்கும் வரம்பிடப்பட்ட குறுகிய masquerade விதியே வழக்கமான தேர்வு:

iptables -t nat -A POSTROUTING -s 10.77.0.0/24 -o usb0 -j MASQUERADE

இங்கே இலக்கை விட விரிவு முக்கியம். எந்தவொரு வெளியேறும் இடைமுகத்துடனும் பொருந்தும் masquerade விதி eth0 வழியாகச் சரியாகச் செல்லும் போக்குவரத்தையும் மீண்டும் எழுதும், அது வழிப்பாதைத் தவறுகளைத் திருத்துவதற்குப் பதிலாக மறைக்கிறது. மொழிபெயர்ப்பு வழிப்பாதை முடிவுக்குப் பிறகு இயங்குகிறது, எனவே தவறான மேல் இணைப்புக்கு அனுப்பப்பட்ட பாக்கெட்டை அது ஒருபோதும் சரிசெய்ய முடியாது.

பாதைகள் வேறுபடும்போது சுரங்கப்பாதை மேலதிகச் செலவும் கவனம் கேட்கிறது. வாடிக்கையாளர்கள் பெரிய TCP MSS ஐ ஒப்புக்கொண்டு மாற்று WAN குறைந்த MTU அல்லது உள்ளே சுரங்கப்பாதை கொண்டிருந்தால், பெரிய பிரிவுகள் நின்றுவிடும் சிறியவை இயங்கும். முன்னனுப்பும் பாதையில் MSS ஐ இறுக்குவது அதை அவ்வப்போது நிற்பதற்குப் பதிலாக முன்கணிக்கத்தக்க நடத்தையாக மாற்றுகிறது.

usb0 மறைந்தால் என்ன நடக்கும் என்பதை முடிவு செய்யுங்கள்

காலி அட்டவணை தோல்வியில் மூடும் நிலை அல்ல. பொருந்தும் வழி மறைந்தால், தேடல் அடுத்த விதிக்குத் தொடர்கிறது, முதன்மை அட்டவணையை அடைந்து eth0 இயல்புநிலையை எடுக்கிறது. இரண்டாவது WAN வழியாகச் செல்ல வேண்டியிருந்த போக்குவரத்து அமைதியாக முதல் வழியாகச் செல்கிறது, கொள்கை வழிப்பாதையாக்கப்பட்ட நிறுவலில் இது பொதுவாக நீங்கள் குறைந்த அளவில் விரும்பும் முடிவாகும்.

அந்தப் பின்னடைவு ஏற்கமுடியாத இடத்தில், அட்டவணை 600 இல் வெளிப்படையான இறுதி வழியைச் சேர்க்கவும், எடுத்துக்காட்டாக blackhole இயல்புநிலை, அல்லது இடைமுகம் மூடப்பட்டிருக்கும்போது தீவரிச் சுவரில் குளத்தை வீசுங்கள். இரண்டில் எதுவும் நீங்கள் எழுதக்கூடிய முடிவு; மௌனம் அல்ல.

நிலைத்தன்மை கடைசி உருப்படி. இரு இணைப்புகளையும் வைத்திருப்பவர் யாராக இருந்தாலும், அது பிணைய மேலாளராகவோ அனுப்புநர் ஸ்கிரிப்டாகவோ இணைப்பின் வாழ்க்கைச் சுழற்சியாகவோ இருக்கலாம், ஒவ்வொரு மறுஇணைப்பிலும் நகல்களைச் சேர்க்காமல் வழிகளையும் விதியையும் மீண்டும் உருவாக்க வேண்டும். உண்மையான வாடிக்கையாளரின் கோரிக்கையும் கேட்வேயின் தனிக் கோரிக்கையும் கொண்டு சரிபார்க்கவும், இரண்டிலும் காணப்பட்ட வெளியேற்றத்தை உறுதிப்படுத்தவும், பிறகு இரண்டாவது WAN ஐ இழுத்து நீங்கள் வடிவமைத்த இரு முடிவுகளில் எது உண்மையில் நடக்கிறது என்று பாருங்கள். IPv6 க்கு அதன் சொந்த அட்டவணை, விதி மற்றும் மொழிபெயர்ப்பு தேவை; மேலே உள்ள IPv4 விதி அதைப் பற்றி எதுவும் சொல்லவில்லை.