Bitta IPv4 manzilini OpenVPN tunneli tashqarisiga qanday yuborish mumkin

Ko'pgina to'liq tunnel sozlamalari har bir paketni VPN orqali yuboradi, va redirect-gateway buni amalga oshiradigan direktivdir. Bitta manzilni baribir istisno qilish mumkin. O'sha manzil uchun net_gateway to'ldiruvchisi bilan xost marshruti qo'shish mijozga unga mashinaning asl shlyuzi orqali yetib borishni aytadi, qolgan hamma narsa tunnelni ishlatishda davom etadi.

Qator zararsiz ko'rinadi va ko'pincha shundaydir, lekin u faqat bitta savolni hal qiladi: aynan o'sha IPv4 manzilga tegishli paketlar qayerga ketadi. U DNS, IPv6, tarmoq ekrani siyosatini yoki ulanishni qaysi jarayon ochganini o'zgartirmaydi, va ularning har biri istisnoni jimgina bekor qilishi mumkin.

net_gateway aslida nimani nomlaydi

Bu istisno uchun profil yozuvi bitta qatordir: route 198.51.100.77 255.255.255.255 net_gateway. Birinchi manzil manzil uchun hujjat to'ldiruvchisi, maska uni bitta xost marshrutiga aylantiradi, va oxirgi token shlyuz to'ldiruvchisini nomlaydi. OpenVPN marshrutlarni o'rnatishda shlyuz to'ldiruvchilarini hal qiladi. vpn_gateway tunnelning o'z shlyuzini, ya'ni VPN aloqasining uzoq tomonini bildiradi. net_gateway VPN biror narsani o'zgartirishdan oldin xostda bo'lgan standart shlyuzni bildiradi, bu odatda jismoniy tarmoqdagi mahalliy marshrutizator.

Uchinchi to'ldiruvchi, remote_host, VPN serverining manziliga ishora qiladi, va tunnel serverga jismoniy yo'l orqali yetib borishi uchun mavjud. Bu uchtasini chalkashtirish istisnoning noto'g'ri joyga ketishining yoki umuman o'rnatilmasligining eng keng tarqalgan sababidir.

Qiymat ulanish vaqtida o'qiladi, faylga yozilmaydi. Agar mashina boshqa tarmoqqa o'tsa, VPN oldidagi shlyuz o'zgaradi va marshrut yangisiga ergashadi. Odatda bu siz xohlagan narsa, lekin istisnoning xatti-harakati mijoz boshlagan tarmoqqa bog'liqligini ham bildiradi.

Nima uchun xost marshruti tunnelning standart marshrutini yutadi

Marshrutlash eng aniq mos keladigan prefiks bilan belgilanadi. redirect-gateway def1 odatda standart marshrutni almashtirmaydi; u ikki yarmini qo'shadi, manzil maydonining pastki yarmi uchun bir marshrut va yuqori yarmi uchun yana biri, shuning uchun asl standart marshrut boshqa maqsadlar uchun saqlanadi. Bu yarmilar bitta manzildan kengroq.

255.255.255.255 maskali bitta manzil uchun marshrut /32 bo'lib, bu IPv4 yeta oladigan eng yuqori aniqlik. O'sha manzil uchun paket baholanganda /32 mos keladi va qaysi marshrut birinchi o'rnatilganidan qat'i nazar yutadi. Bu istisno ortidagi mexanizm, va marshrut haqiqatan mavjud bo'lsa, Linux, macOS va Windows da bir xil ishlaydi.

Windows ikkinchi o'lchamni qo'shadi. Ikki marshrut bir xil aniq bo'lsa, metrikasi pastrog'i yutadi, va VPN adapteri natijani o'zgartiradigan interfeys metrikasini olib yurishi mumkin. /32 hali ham yarmilardan aniqroq, shuning uchun istisno odatda saqlanadi, lekin oldingi sessiyadan qolgan eski marshrut bir xil aniq bo'lsa, chalkashtiruvchi natija berishi mumkin.

Istisno nimani qamrab olmaydi

DNS birinchi bo'shliq. Mijoz ichki hal qiluvchi sozlamalarini itarishi mumkin, va operatsion tizim ularni qidiruvlar uchun ishlatishda davom etadi. Ulanishdan oldin nomni hal qiladigan dastur to'g'ridan-to'g'ri borishi kerak bo'lgan xizmat uchun ichki manzil, yoki to'g'ri hal qilinib keyin keyingi bo'shliqqa qoqiladigan tashqi manzil olishi mumkin.

IPv6 ikkinchisi. Marshrut direktivasi faqat IPv4 bilan ishlaydi. Ikki stekli manzil IPv6 ni afzal ko'rish mumkin, u siyosatga qarab tunnelga yoki xostning IPv6 standart marshrutiga ergashadi, shuning uchun IPv4 istisnosi hech qachon kuchga kirmaydi. Sizga mos IPv6 marshruti yoki o'sha mijoz uchun IPv6 ni o'chirish haqida ongli qaror kerak.

Dastur qamrovi uchinchisi. Qoida manzilga asoslangan, shuning uchun o'sha manzilga ulanadigan har bir jarayon to'g'ridan-to'g'ri yo'ldan foydalanadi, bu siz o'ylagan jarayon bo'ladimi yoki yo'qmi. Aksincha, veb-sayt bir nechta manzildan javob berishi mumkin, shuning uchun bitta /32 ni istisno qilish saytni istisno qilmaydi. Agar haqiqiy talab dastur bo'yicha marshrutlash bo'lsa, Community mijozining marshrut jadvali noto'g'ri vosita.

O'zingizni aldamay istisnoni tekshirish

Brauzerdan emas, o'rnatilgan marshrutdan boshlang. Linux da yadrodan aniq manzil uchun qaysi marshrut va keyingi sakrash ishlatilishini so'rang; Windows da o'sha /32 uchun marshrut jadvalini o'qing. Shlyuzning tunnel emas, jismoniy ekaniga ishonch hosil qiling. Agar yozuv yo'q bo'lsa, profil qo'llanilmagan yoki mijozning marshrutlarni o'zgartirishga huquqi bo'lmagan.

Keyin ikkita manzilni sinab ko'ring. Istisno qilingan manzilga so'rov jismoniy interfeysdan chiqishi kerak, va nazorat ichki manziliga so'rov hali ham tunneldan foydalanishi kerak. Faqat istisno qilingan manzilni sinash tunnelning qolgan qismi haqida hech narsani isbotlamaydi, va ochiq veb-saytni sinash o'sha sayt hal qilingan manzilni sinaydi, bu qoidadagi manzil bo'lmasligi mumkin.

Nihoyat, marshrutdan ustun kelishi mumkin bo'lgan boshqaruvlarni tekshiring. Mijoz tomonidagi kill switch yoki Windows ning block-outside-dns sozlamasi to'g'ridan-to'g'ri trafikni taqiqlashi mumkin, bu marshrut to'g'ri bo'lsa ham muvaffaqiyatsiz bo'lgan ulanish sifatida ko'rinadi. Istisno ishlayotgandek ko'rinishi uchun bu boshqaruvlarni o'chirmang; agar siyosat to'g'ridan-to'g'ri yo'lni taqiqlasa, istisno VPN xizmati egasi uchun dizayn muammosi.

Qayta ulangandan yoki tarmoq o'zgarganidan keyin yana tekshiring, chunki VPN oldidagi shlyuz va mavjud yo'l profilning emas, lahza xususiyatlari.