Bakit hindi maaaring gumana ang wildcard sa isang route directive ng OpenVPN

Makatwiran ang layunin: ipadala ang lahat para sa isang domain ng kumpanya sa tunnel at hayaang mapayapa ang iba. Ang direktibang ine-edit ay nag-i-install ng mga ruta, at ang ruta ay walang anumang konsepto ng hostname na maidudugtong. Bawat pagtatangkang magsulat ng wildcard dito ay nagbubunga ng alinman sa error sa pag-parse o, mas mabuti pa, isang rutang nagkataong gumagana ngayon dahil ang pangalan ay naresolba sa isang address. Dalawang magkaibang mekanismo ang hinihiling na gawin ang trabaho ng isa't isa.

Ano ang ini-install ng ruta, at ano ang hindi nito kailanman binabasa

Ang entry ng ruta ay nagsasabi na ang prefix ng destinasyon ay maabot sa pamamagitan ng isang interface. Inihahambing ng kernel ang mga packet sa mga prefix na iyon, kaya ang tanging mga identifier na kasangkot ay mga address at mask. Ang hostname ay hindi kailanman lumalabas sa desisyon ng pagpapasa, at iyon ang dahilan kung bakit hindi maidudugtong ang isang pattern doon.

OpenVPN ay maaaring tumanggap ng naresolbong pangalan sa ilang parameter ng ruta, at ang pagpapahintulot na iyon ay pinagmumulan ng pagkalito. Ang pangalan ay naresolba habang inilalapat ang configuration, na nagbubunga ng isa o higit pang address na nagiging ordinaryong ruta. Pagkatapos noon, ang pangalan ay tuluyang nawawala sa larawan.

Kaya ang rutang itinayo mula sa pangalan ay isang snapshot, hindi isang tuntunin. Sinasaklaw nito ang kung saan naresolba ang pangalang iyon sa sandaling nagsimula ang tunnel, at iyon mismo ang pag-uugaling hindi mo gusto para sa isang pamilya ng host na nagbabago. Ang record na lilipat bukas ay nag-iiwan sa ruta na nakaturo sa kahapon.

Kapag ang destinasyon ay talagang isang prefix

Kung ang target ay isang kilalang pribadong network, isulat ang prefix. Para sa isang halimbawa mula sa espasyo ng dokumentasyon, ganito ang hitsura ng isang host at isang subnet:

route 10.60.4.20 255.255.255.255
route 10.60.0.0 255.255.0.0

Parehong pinapangalanan ng dalawang entry ang mga address at mask, at parehong nakakaligtas sa mga pagbabago ng DNS dahil walang anumang bagay sa kanila ang nakadepende sa pangalan. Iyon ang buong kalamangan: ang ruta ay isang pahayag tungkol sa topology at hindi tungkol sa isang paghahanap na nangyari isang beses.

Huwag maghinuha ng malaking prefix mula sa isang sagot ng DNS. Ang isang hostname na naresolba sa isang address ay walang sinasabi sa iyo tungkol sa laki ng network sa likod nito, at ang hinulaang prefix ang paraan kung paano nagwawakas ang isang tunnel sa paghuli ng trapikong walang sinumang naglayong ipadala roon. Itanong sa may-ari ng network ang aktwal na prefix sa halip na hinuhaan ito mula sa isang paghahanap.

Kapag ang yunit ng trabaho ay isang hostname

Ang pagpili ayon sa domain ay nangangailangan ng isang bagay na bumubasa ng domain, ibig sabihin ay isang bahagi sa antas ng aplikasyon. Ang karaniwang sagot ay isang HTTP proxy na naninirahan sa kabilang panig ng tunnel, kung saan pinipili ng client kung aling mga request ang ipapadala rito.

Ang isang configuration file ng proxy ay maaaring magpahayag ng pagpipiliang iyon. Ang mga halimbawang tuntunin sa ibaba ay nagpapadala ng isang domain at ng mga subdomain nito sa isang proxy at lahat ng iba pa nang direkta:

function FindProxyForURL(url, host) {
    var h = host.toLowerCase();
    if (h === "corp.example" || dnsDomainIs(h, ".corp.example")) {
        return "PROXY 10.60.0.12:3128";
    }
    return "DIRECT";
}

Sinasaklaw ng paghahambing ng eksaktong pangalan ang domain mismo, at sinasaklaw ng paghahambing ng suffix ang mga anak nito nang hindi itinutugma ang isang pangalang nagtatapos lamang sa magkatulad na mga karakter. Kailangan ang pareho, at ang pag-iwan sa isa ay gumagawa ng tuntuning mukhang tama at lumalaktaw sa tuktok o sa isang manloloko.

Pinipili ng mga tuntuning ito ang isang proxy; hindi sila gumagawa ng isa, at hindi nila binabago ang anumang ruta ng operating system. Ang address ng proxy ay kailangan pa rin ng sarili nitong landas sa tunnel, at ang mga request na minarkahan bilang direkta ay sumusunod pa rin sa patakaran sa pag-ruta na mayroon na ang makina.

Ano ang hindi sinasaklaw ng opsyon ng proxy

Ang mga programang hindi pinapansin ang configuration ng proxy ng browser ay hindi maaapektuhan ng anuman sa mga ito. Ang mga tool sa command line, mga updater at mga aplikasyong may sariling stack ng network ay kumukuha ng talahanayan ng ruta, hindi ng PAC file, kaya ang mga kasong iyon ay nangangailangan ng sinusuportahang mekanismo sa bawat aplikasyon o ibang disenyo. Ilista ang mga client na mahalaga bago mangako na sinasaklaw ng tuntunin ng browser ang workflow.

Ang pagbabalik nang direkta ay hindi rin isang butas ng pagtakas. Kung ang patakaran sa pag-ruta ng makina ay nagpapadala na ng lahat sa tunnel, ang isang request na minarkahan bilang direkta ay nananatili sa loob nito, dahil ang pagpili ng proxy at ang talahanayan ng ruta ay magkaibang desisyon na ginawa sa magkaibang antas.

Ang resolusyon ng pangalan ay isang ikatlong hiwalay na tanong. Ang pagpili kung aling mga request ang pupunta sa isang proxy ay walang sinasabi tungkol sa kung aling resolver ang sumasagot sa kanila, at ang pagtrato sa dalawa bilang isang setting ay gumagawa ng mga pagtagas na hindi nakikita hanggang may sumubok mula sa labas. Magpasya kung saan sinasagot ang bawat query at isulat ang desisyong iyon sa tabi ng tuntunin ng proxy. Ang isang resolver na nagbabago dahil umangat ang tunnel ay tahimik na maglilipat ng sagot.

Subukan ang parehong landas, hindi lamang ang masaya

Subukan ang isang hostname na dapat tumugma, isang hostname na hindi dapat, at ang tuktok ng domain, dahil ang tuktok ang kaso na pinakamadalas na nalalaktawan ng isang tuntuning suffix lamang. Pagkatapos ay kumpirmahin kung aling landas ang aktwal na tinahak ng bawat request sa halip na hinuhaan ito mula sa kung nag-load ang pahina.

Sa wakas, subukan ang sangay ng kabiguan. Ang isang proxy na hindi maabot ay dapat mabigo sa paraang napagpasyahan mo nang maaga, sa halip na tahimik na bumalik sa isang direktang koneksyon. Ang sanggunian ng mga opsyon sa network ay tumpak na nagdodokumento ng mga parameter ng ruta; ang kalahati ng domain ng disenyong ito ay naninirahan nang lubos sa labas nito.