VPN orqali Dante SOCKS: to'liq tunnel yoki manba bo'yicha marshrutlash

Siz SOCKS proksining trafigi VPN orqali chiqishini, hostning qolgan qismi esa odatdagi yo'lini saqlashini xohlaysiz. Buni ikki loyiha qiladi va ular biror narsa noto'g'ri ketganda nima buzilishi bilan farq qiladi. Biri standart marshrutni tunnelga tiqadi va keyin undan aylanib o'tadi; ikkinchisi asosiy jadvalni o'z holicha qoldirib, bitta manba manzilini ikkinchi jadvalga yuboradi. Ikkinchisi tozaroq va o'z tuzoqlari bor.

Ikki loyiha, ikki xil zarar radiusi

To'liq tunnel loyihasi — ko'pchilik VPN mijozlari standart ravishda qiladigan ish: hamma narsa tunnelni kuzatishi uchun standart marshrutni almashtiradi, keyin kuzatmasligi kerak bo'lganini chiqarib tashlaydi. Bu haqda o'ylash oson, tor saqlash qiyin, chunki qo'shgan har bir mahalliy xizmat uni chiqarib tashlamaguningizcha tunnelni meros qilib oladi. Nosozlik usuli keng, chunki bitta noto'g'ri marshrut hostning o'z ulanishini ham olib ketadi.

Manba bo'yicha tanlash loyihasi qarama-qarshi yo'nalishda boradi. Asosiy jadval avvalgidek qoladi, bitta siyosat qoidasi ma'lum bir mahalliy manzildan kelgan paketlarni tunnel standartiga ega jadvalga yuboradi. Boshqa hech narsa o'zgarmaydi, ya'ni zarar radiusi bitta manzil.

Bu torlik ham cheklovdir: loyiha faqat proksining chiquvchi paketlari haqiqatan o'sha manzilni olib yursa ishlaydi.

Dante'ning external sozlamasi nima qiladi

External sozlamasi proksi chiquvchi ulanishlar uchun ishlatadigan manzillarni tanlaydi; u yadro marshrutlash siyosatiga tegmaydi. Aynan shu ajratish ikkinchi loyihani mumkin qiladi va odamlar hujjatlarni aynan shu yerda noto'g'ri o'qiydi. External'ni tunnel manziliga yo'naltirish proksini ulanishlarini o'sha manzildan boshlashga majbur qiladi, keyin marshrut jadvali bu paketlar qayerga ketishini hal qiladi.

Tinglovchi alohida masala. Internal'ni proksidan foydalanishi kerak bo'lgan mijozlar bilan cheklang, autentifikatsiyani talab qiling va portni xavfsizlik devori bilan yoping, chunki ochiq tinglovchi VPN chiqishining xususiyati emas.

Sozlangan manzil proksining tarmoq nomlar fazosida haqiqatan tunnelga tegishli ekanini tasdiqlang.

Manba bo'yicha tanlangan jadvalni qurish

10.90.0.2/24 TUN manzili, 10.90.0.1 da yetib boradigan peer va boshqa hech narsa ishlatmaydigan jadval raqami uchun tartib shunday ko'rinadi:

ip -4 route add table 100 10.90.0.0/24 dev tun0 src 10.90.0.2
ip -4 route add table 100 default via 10.90.0.1 dev tun0 metric 10
ip -4 route add table 100 unreachable default metric 32760
ip -4 rule add priority 1000 from 10.90.0.2/32 lookup 100

Yetib bo'lmaydigan marshrut — odamlar tashlab ketadigan qism. Usiz tunnel marshruti yo'qolgan jadval odatdagi standartga tushadi va proksi jimgina WAN orqali chiqadi. U bilan qidiruv muvaffaqiyatsiz bo'ladi, bu jimgina oqish o'rniga ko'rinadigan nosozlik. Qoidaning ustuvorligi ham o'sha manbaga mos keladigan hamma narsadan oldin turishi kerak.

Bu qiymatlar bitta topologiyani tasvirlaydi. Nuqta-nuqtaga peerlar, net30 manzillash va boshqa prefiks tarqatadigan mijozlar barchasi o'z marshrutlariga muhtoj, shuning uchun manzillarni emas, shaklni nusxalang.

Manba qoidasi qayerda oqadi

Manba manziliga mos keladigan qoida uni ishlatadigan har bir jarayonga ta'sir qiladi, faqat proksiga emas. Agar boshqa demon o'sha manzilni bog'lasa, uning trafigi ham tunnelni oladi va nosozlik aloqasiz xizmat muammosiday ko'rinadi. Proksiga boshqa hech kim ishlatmaydigan manzil bering yoki qamrov jarayon emas, manzil ekanini qabul qiling.

DNS — keyingi oqish. Resolver soketi proksining external ma'lumot ulanishi manbasini albatta ishlatmaydi, shuning uchun nom qidiruvi hali ham WAN orqali chiqishi mumkin. Hal qilishni ulanish o'rnatishdan alohida sinab ko'ring va bu natija maqbulmi, hal qiling.

IPv6 o'z qoidalari va marshrutlariga muhtoj, chunki IPv4 tartibi u haqida hech narsani isbotlamaydi.

Ko'tara oladigan nosozligingizga qarab tanlang

Hostni butunlay himoya qilish kerak bo'lsa va istisnolar ro'yxatini yurita olsangiz, to'liq tunnelni tanlang. Host o'z yo'lini saqlashi va faqat bitta xizmatni yo'naltirish kerak bo'lsa, manba asosidagi marshrutlashni tanlang. Ikkalasi ham qonuniy; xato — birini tanlab, keyin uni ikkinchisidek sinash.

Qaysi birini tanlasangiz ham, ikki tomondan tekshiring: proksi orqali so'rov va hostdan to'g'ridan-to'g'ri so'rov, har biri uchun kuzatilgan chiqish manzili yozib olinib.

Agar tunnel uzilsa, proksi ishdan chiqishi yoki orqaga chekinishi kerakligini oldindan hal qiling va marshrut jadvali o'sha qarorni ifodalasin.