Eski standart marshrutingiz OpenVPN bilan ataylab saqlanib qoladi

Siz tunnelni ulaysiz, ip route ishga tushirasiz va asl standart shlyuz hali ham o'sha yerda turadi. Keyingi fikr — mijoz marshrutni o'z zimmasiga ola olmadi, shuning uchun siz standartni qo'lda o'chirib, ulanishni butunlay yo'qotasiz. Bu yozuv qolishi kerak. redirect-gateway def1 bilan OpenVPN oddiy standart o'rnini bosish o'rniga undan ustun turadigan ikkita aniqroq marshrut o'rnatadi. Eski shlyuz qoladi va siz sinab ko'rgan trafikni tashishni to'xtatadi.

def1 aslida nima qiladi

Bayroq 0.0.0.0/1 va 128.0.0.0/1 ni qo'shadi, ikkalasi ham tunnelga qaraydi. 0.0.0.0/1 birinchi okteti 0 dan 127 gacha bo'lgan har bir manzilni oladi, 128.0.0.0/1 esa 128 dan 255 gacha oladi, shuning uchun har bir IPv4 manzili eski standartdan aniqroq moslikka ega bo'ladi. Qaysi marshrut yutishini metrika emas, prefiks uzunligi hal qiladi.

Asl standartni joyida qoldirish ataylab qilingan. Mijoz nima almashtirganini eslab qolishi shart emas va VPN serveriga o'z ulanishini tashuvchi marshrutni qayta yozmaydi. Uzilishda u ikkita yarim marshrutni olib tashlaydi va jadval avvalgi holatiga qaytadi.

Nega /1, /0 emas

Marshrutlash eng uzun mos keluvchi prefiksni tanlaydi, eng past metrikani emas, shuning uchun standart metrikasi nima desa ham /1 /0 ni yutadi. Ikkala yarm ham bor, chunki bitta /1 faqat yarim fazoni qamrab oladi; faqat 0.0.0.0/1 mavjud bo'lsa, 128.0.0.0 dan yuqoridagi hammasi hali ham eski standartga ergashadi, bu esa ba'zi saytlar ishlab, boshqalari ishlamaydigan chalkash alomatni keltirib chiqaradi.

Eski standart metrikasini oshirish yoki kamaytirish hech narsani o'zgartirmaydi, boshqa interfeysdagi past metrikali standart ham trafikni o'g'irlamaydi. Prefiks uzunligi birinchi hal qiladi va faqat teng prefikslar metrikaga qaytadi.

Haqiqiy marshrutlash jadvalini o'qing

Ulangan xost uchala yozuvni bir vaqtda ko'rsatishi mumkin, tunnel yarmlarni tashib, asl shlyuz hali ham ro'yxatda turadi. Manzillar nusxa ko'chiriladigan konfiguratsiya emas, misoldir, chunki interfeys nomlari, tunnel topologiyasi va qo'shimcha marshrutlar platforma va mijozga qarab farq qiladi.

default via 192.168.50.1 dev wlan0
0.0.0.0/1 via 10.8.0.1 dev tun0
128.0.0.0/1 via 10.8.0.1 dev tun0

Muhimi — munosabat: bitta umumiy standart ustida ikkita aniq yarm. Eski shlyuz satri qoladi, chunki uning o'rnini hech narsa bosmagan.

Paket aslida qaysi marshrutni olishini tekshiring

Aniqroq marshrutlar hali ham yutishi mumkin: xususiy diapazon uchun marshrut, mahalliy quyi tarmoq yoki VPN serverining o'z manzili /1 dan uzunroq. Tunnelga serveriga tashqi yo'l kerak va bu ulanishni tunnelga qaytarib yuborish uni darhol buzadi. Linuxda jadvalni ko'z bilan o'qish o'rniga yadrodan so'rang: sizga muhim bo'lgan manzil bilan ip route get tanlangan marshrutni, interfeysni va manbani chiqaradi. Agar siyosat marshrutlash sozlangan bo'lsa, qoidalarni ham tekshiring, chunki qoida asosiy jadvalga murojaat qilishdan oldin boshqa jadvalni tanlashi mumkin.

Agar IPv4 ning faqat bir qismi noto'g'ri ishlasa, ikkala yarm ham o'rnatilganini tasdiqlang, so'ng muvaffaqiyatsiz manzilga mos istisnoni qidiring. Eski standartni o'chirish tuzatish emas va u mijozga tunnelni toza yopish uchun kerak bo'lgan marshrutni ham olib tashlaydi.

def1 nimani qamrab olmaydi

Ikkita IPv4 yozuvi IPv6 haqida hech narsa demaydi: IPv6 ulanishi bo'lgan xost o'sha oilani alohida yo'naltirishgacha o'z standartidan foydalanishda davom etadi, shuning uchun ikki qatlamli tarmoqda ba'zi trafik tunnelni chetlab o'tayotgandek ko'rinadi. Boshqa mijozlar va tarmoq menejerlari to'liq tunnel marshrutlashni boshqacha amalga oshiradi va ularning jadvallari mos kelmaydi. Bu yerda tasvirlangan def1 xatti-harakati OpenVPN ning hujjatlashtirilgan bayrog'iga tegishli, mashinadagi har bir VPN ga emas.

Kill switch boshqa savolga javob beradi: tunnel uzilganda mashina nima qiladi. Marshrutlash ustuvorligi tunnel ishlab turganda trafik qayerga ketishini hal qiladi; u keyin firewall nima qilishini hal qilmaydi. Ish tartibi: jadvalni o'qing, ikkala yarm borligini tasdiqlang, muvaffaqiyatsiz manzil uchun ip route get ishga tushiring, siyosat qoidalarini tekshiring, so'ng IPv6 ni alohida ko'rib chiqing. Eski standartni u turgan joyda qoldiring.