Berdeng icon, parehong pampublikong IP: aling ruta ang nilaktawan ng VPN

Konektado, berde ang icon sa tray, at nag-uulat pa rin ang pahinang nagpapakita ng address ng provider — hindi ito awtomatikong nangangahulugang may sira. Dalawang magkaibang trabaho ang ginagawa ng kliyente: gumagawa ito ng tunnel, at binabago nito ang routing table. Alinman ay maaaring mangyari nang wala ang isa, at ang selective routing ang setup kung saan sadyang nilalaktawan ang pangalawa.

Ano ang aktwal na inilagay ng kliyente

Itanong kung aling interface ang magdadala ng packet sa tunay na destinasyon sa halip na itanong kung nakataas ang tunnel. Ang tunnel na walang ruta papunta sa destinasyong iyon ay pribadong daan na walang dumadaan.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

Sumasagot ang unang command sa Linux at macOS, at ang dalawa pa ay katumbas para sa Windows kung saan isa lang ang sapat. Kung pinangalanan ng sagot ang pisikal na adapter, nakataas ang tunnel at hindi kailanman gumalaw ang default na ruta. Ulitin ang pagsusuri para sa destinasyong dapat gumamit ng tunnel, dahil dalawang pagsusuri, isang malayo at isang karaniwan, ang nagsasabi kung aling disenyo ang naka-deploy.

Tatlong anyo ng selective routing

Karaniwang nagsusulat ang full-tunnel profile ng default na rutang nakaturo sa interface, o nagsusulat ng pares ng half-range prefix na nananalo sa haba ng prefix habang nananatili sa table ang orihinal na default. Ang selective routing ang ibang pagpipilian, at dumarating ito sa ilang anyo. Isang profile ang nagruruta ng isang host tulad ng RDP server, isa pa ang nagruruta ng pampublikong saklaw na dapat maabot mula sa isang partikular na lokasyon, at ang pangatlo ay sadyang hindi kasama ang isang application. Tatlo ang lehitimo, at wala sa kanila ang nagbabago ng address na nakikita ng karaniwang website.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

Basahin ang profile para sa direktibang nagpapasya, pagkatapos basahin ang table para sa naibunga nito. Ang itinulak na direktiba ay maaari ring pigilan sa kliyente, kaya kailangang magtugma ang profile at table bago mo sisihin ang server.

Dapat isulat muli ng kabilang dulo ang pinagmulang address

May pangalawang sira na mukhang pareho mula sa browser. Pumapasok ang ruta sa tunnel, natatanggap ng server ang mga packet, at pagkatapos ay ipinapasa ang mga ito nang buo ang pribadong address ng kliyente. Walang return path ang susunod na hop para sa address na iyon, kaya nawawala ang mga sagot at nag-hang ang mga pahina. Kailangang magpasa ng server, at kailangan nitong isalin ang pinagmulan sa isang bagay na kayang iruta pabalik ng internet.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

Pangalanan ang interface na talagang nakaharap sa internet, na hindi laging eth0 sa makabagong distribusyon. Ang naka-host na server na may fixed na address ay maaaring tahasang isalin sa address na iyon sa halip na gumamit ng masquerade. Mahalaga ang dalawang hati, dahil ang pagpapasa nang walang salin ay naglalabas ng mga pinagmulang hindi maruruta, habang ang pagsasalin nang walang pagpapasa ay hindi kailanman nakikita ang packet.

May sariling landas ang resolution ng pangalan

Maaaring lumabas ang trapiko sa tunnel habang ang paghahanap na nakahanap ng pangalan ay pumunta sa resolver sa lokal na network. Nananatiling pareho ang nakikitang address, hindi ang mga query, at ang puwang na iyon ang eksaktong pinipili ng split-DNS na disenyo.

resolvectl status | head -20
resolvectl query example.org

Pansinin kung aling server ang sumagot at kung iba ito sa baseline bago ang tunnel. Sa split tunnel ito karaniwang ang setting na gustong baguhin ng mga tao noong nagreklamo sila tungkol sa address, at ito ang hindi nila kailanman tiningnan.

Apat na obserbasyon na nagpapasya

Itala ang exit address habang nakababa ang tunnel, pagkatapos habang nakataas. Patakbuhin ang destination lookup sa dalawang estado at itala ang interface sa bawat pagkakataon.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

Kapag napunta ang lookup sa loob ng tunnel at nag-uulat pa rin ang echo ng address ng provider, kulang ang pagsasalin sa labasan. Kapag napunta ang lookup sa pisikal na adapter, selective ang profile at hindi kailanman kasama sa saklaw ang pampublikong address. Palitan ang echo service ng isang pinagkakatiwalaan mo at itala ang apat na obserbasyon nang magkasama, dahil mag-isa lang silang mga anekdota. Kapag magkasama, tinutukoy nila kung alin sa dalawang trabaho ang aktwal na ginawa ng kliyente.