SSH üzerinden VPN istemcisi mi başlatıyorsunuz? Önce kendi rotanızı sabitleyin
Tam tünelli bir istemci, SSH yanıtınızı taşıyan tabloyu yeniden yazar. Eski ağ geçidi üzerinden tek bir ana bilgisayar rotası sabitleyin veya istemciyi kendi ad alanında çalıştırın.
Bir derleme ana bilgisayarına SSH ile bağlanır, üzerinde VPN istemcisini başlatırsınız ve oturum yanıt vermeyi bırakır. Hiçbir şey çökmedi ve hiçbir şey bariz anlamda yanlış yapılandırılmış görünmüyor. İstemci varsayılan bir rota kurdu, bu yüzden iş istasyonunuza giden yanıtlar artık tünelden çıkıyor; orada iş istasyonunuzun adresi yönlendirilebilir değil. İlginç olan, bu sonucun öngörülebilir olması ve düzeltmenin istemci başlamadan önce yazılan tek bir rota olması. Tek ağ kartlı bir sunucu, 192.0.2.254 ağ geçidi ve 203.0.113.9 adresinden bağlanan bir yönetici varsayalım.
Başlamadan önce yolu kaydedin
ip route show default mevcut ağ geçidini ve arayüzü adlandırırken ip route get 203.0.113.9 çekirdeğin oturumunuz için hangi arayüzü ve kaynak adresi kullanacağını gösterir. İki çıktıyı da saklayın. Tünel açıldıktan sonra da bu iki komut fiziksel yolu tanımlamaya devam etmelidir; eğer bunun yerine tüneli tanımlıyorlarsa, oturum çoktan ödünç alınmış zamanda yaşıyor.
Önemli olan zaten kurulmuş bağlantıdır, bu yüzden yalnızca yeni bir oturum açmayla doğrulamayın. Yeni bir oturum, eskisinin artık sahip olmadığı bir durum sayesinde kısa süreliğine başarılı olabilir.
Adresi istemcinin kendi yapılandırmasında sabitleyin
Elle eklenen bir rota yeniden başlatmada kaybolur ve istemcinin kendi tablo güncellemeleriyle yarışır, bu yüzden istisnayı tablonun yönetildiği yere koyun. OpenVPN altında net_gateway anahtar sözcüğü tünelden önce var olan ağ geçidine çözümlenir, böylece route 203.0.113.9 255.255.255.255 net_gateway tam olarak bir adresi dışarıda tutar. WireGuard farklı bir yaklaşım gerektirir çünkü wg-quick rotaları kendisi yönetir: Table = off ayarını yapın ve istisnayı PostUp içine ekleyin, onu kaldıran eşleşen bir PostDown ile birlikte. Her iki biçim de aynı niyeti ifade eder ve ikisi de istisnayı her şey için tüneli zayıflatmak yerine tek bir adresle sınırlar.
IPv6 için aynı fikir tek ana bilgisayar önekini alır ve sarmalanmış taşıma durumu hatırlanmaya değer: tünelin kendi dış bağlantısı sabit bir adreste yaşıyorsa, o adres taşıdığı tünelin dışında kalmalıdır, aksi halde istemci kendi taşımasını kendi içine yönlendirir.
Ya da ana tabloyu denklemden çıkarın
Ana bilgisayardaki birkaç hizmet normal yollarını korumak zorunda kaldığında, ana tabloyu düzenlemeyi bırakın ve istemciye kendi tablosunu verin. veth çifti olan bir ağ ad alanı bunu temiz yapar: istemcinin varsayılan rotası başka bir yığında yaşar ve tüneli yalnızca onun içinde başlatılan süreçler kullanır. İlke yönlendirmesi tek bir hedef için benzer bir yere ulaşır; eşleşen trafiği varsayılanı hâlâ fiziksel ağ geçidini gösteren özel bir tabloya gönderir. Yaklaşımların her biri ana bilgisayarın ana tablosunu yeni bir varsayılan rota olmadan bırakır ve SSH'yi yanıt verir durumda tutan tam da bu özelliktir.
İkisi de tek bir ana bilgisayar rotasından daha fazla mekanizmadır ve makinede birden fazla şeyin tüneli atlatması gerektiğinde ikisi de buna değer.
Sabitlemenin başarısız olabileceğini varsayın
Mevcut genel adresinize bağlı bir rota, sağlayıcınız onu yeniden atadığı anda kırılır. O zaman uzak bir sunucunun o adrese bağlı olmayan bir yola ihtiyacı vardır: bir konsol, ikinci bir yönetim arayüzü veya tünelin dışında kalan bir atlama ana bilgisayarı.
İki önlem on dakika sürer. Birkaç dakika içinde doğrulama oturumu açılmazsa istemciyi durduran bir bekçi, kilitlenmeyi gecikmeye çevirir ve değişiklik sırasında açık tutulan ikinci bir SSH oturumu, tünel ayaktayken istisnanın çalıştığını kanıtlar. Yalnızca keepalive burada yardımcı olmaz, çünkü yol boşta değil gitmiştir; yalnızca ölümü fark etmeyi kolaylaştırırlar.
Önemli olan sırayla doğrulayın
Tüneli bağlayın, adresinize giden rotanın hâlâ fiziksel ağ geçidinden çıktığını doğrulayın, ardından yeni bir oturum açın. Yeni oturum çalışıp eski yine de ölürse, neden yönlendirme değil bağlantı izleme veya durumlu bir güvenlik duvarıdır ve bu başka bir düzeltmedir.
Sabitlenen adresi ve onu kanıtlayan komutu değişiklik kaydına yazın. O ana bilgisayarda bir sonraki sefer istemci başlatacak kişi ikisine de ihtiyaç duyacak ve adres o zamana kadar değişmiş olabilir.