OpenVPN mijozlarini Cloudflare orqali yo'naltirish? Avval rolni tekshiring
Qurilma mijozi router emas. Cloudflare roli boshqa xostlarning paketlarini uzatishini tasdiqlang, so'ng serverning o'z tunnelini eski yo'lida qoldiring.
Sizda ishlaydigan OpenVPN serveri va Cloudflare'ning qurilma dasturini ham ishga tushiradigan xost bor, keyingi aniq qadam mijozlar trafigini u tomonga yo'naltirish kabi ko'rinadi. Bitta mashinadagi ikkita ishlaydigan ulanish tranzit shlyuzini tashkil qilmaydi. Yetishmayotgani — boshqaga tegishli paketlarni uzatish uchun hujjatlashtirilgan rol va bu paketlarni kelganda tasniflovchi siyosat.
Har qanday qoidadan oldin to'rtta savol bor: qanday trafik kiradi, u keyin qayerga ketadi, javoblar qaytish yo'lini qanday topadi va o'sha ikkinchi yo'l ishlamay qolganda dizayn nima qiladi. Birinchi ikkitasi qobiliyat savollari.
Bitta xostdagi ikkita xizmat tranzit yo'li emas
Qurilma mijozi o'zi ishlayotgan mashinada paydo bo'ladigan trafikni boshqarish uchun qurilgan. U nomlarni hal qilishni yoki tanlangan ilova trafigini ushlab, o'z tunnelidan yuboradi, siyosati esa o'sha qurilma foydalanuvchisi va o'sha qurilma jarayonlari uchun yozilgan. OpenVPN mijozidan uzatilgan paket mahalliy chiqish emas, shuning uchun bir xil qoidalar uni tasniflamaydi. Bu kengroq qoida bilan yopib bo'ladigan konfiguratsiya detali emas, chunki dastur paketni umuman ko'radimi-yo'qmi shuni hal qiladi.
Shuning uchun dizayn savoli qobiliyat savolidir. Yo o'rnatilgan mahsulotda boshqa tarmoqlar uchun trafikni uzatadigan hujjatlashtirilgan rol bor, yo tranzit funksiyasi butunlay boshqa joyga tegishli.
Cloudflare'ning qaysi roliga uzatishga ruxsat berilgan
Cloudflare qurilma mijozi qamrovda farq qiladigan rejimlarni taklif qiladi: faqat nomlarni hal qilish, qurilmadan trafik va ba'zan ikkalasi. Bu rejimlarning hech biri xostni boshqa tunneldan keladigan xususiy diapazon uchun routerga aylantirmaydi. Maxsus marshrutlash roli o'z konnektori, ro'yxatga olinishi va tarmoq modeli bilan alohida mahsulot.
| Question | What has to answer it |
|---|---|
| Does the installed product forward packets from other hosts? | A documented routing or connector role, not a device mode |
| Which prefixes does the connector advertise? | Its own configuration and status output |
| Does the server's own transport still take the old path? | ip route get for the endpoint, before and after |
| Do replies return through the same path? | Connection tracking counters on the forward rule |
Uning atrofida marshrutlarni loyihalashdan oldin o'rnatilgan rolni tekshiring. Konnektor qaysi interfeysni yaratishini, aniq prefikslar yoki standart marshrutni e'lon qilishini, va mahalliy siyosat mahalliy paketlar kabi uzatilgan paketlarga ham qo'llanishini o'qing. Agar faqat mahalliy trafik boshqarilsa, tarjima qoidasi qanday yozilganidan qat'i nazar, OpenVPN serveri tranzit nuqtasi bo'la olmaydi.
Aynan shu yerda ommaviy chiqish talabi aniq bayon qilinishi kerak. Uzatilgan mijoz trafigi uchun Cloudflare taqdim etadigan chiqish aniq foydalanish holatidir va u sizda haqiqatan mavjud xizmatga nisbatan tasdiqlanishi kerak.
Tashqi tunnelni yangi marshrutdan mustaqil tuting
Yangi interfeysga standart marshrut qo'shgan lahzada serverning o'z chiqish trafigi u uchun raqobatlasha boshlaydi, bunga OpenVPN mijozlariga javoblar va mashinaga SSH sessiyangiz ham kiradi. Odatiy alomat — o'rnatilib keyin o'ladigan tunnel yoki o'zgarish ishlagandek ko'rinayotganda tashqarida qulflanib qolgan administrator. Yakuniy nuqta uchun ip route get ni oldin va keyin taqqoslang, va serverning o'z transportini avvalgi joyida saqlash uchun siyosatga asoslangan marshrutlash yoki xost marshrutidan foydalaning. Bu taqqoslashni mashinaning o'zidan o'tkazing, chunki serverning o'z marshrutiga o'z qarashi muhim.
Serverning ommaviy manzili uchun istisno o'z-o'zidan yetarli emas, chunki har bir masofaviy administratorning qaytish yo'li alohida oqim. Bu oqimlardan qaysilari o'zgarishga dosh berishi kerakligini hal qiling, so'ngra birinchisi qolganlarini qoplaydi deb taxmin qilish o'rniga har birini tekshiring.
Uzatish va tarjimani bitta oqim bilan cheklang
Qabul qilingan paketlar mahalliy chiqish yo'lidan emas, uzatish yo'lidan boradi, shuning uchun muhim qoida forward ilgagida yashaydi. Keyingi interfeys tarjimaga muhtoj bo'lsa, manbani mijozlar hovuziga, manzilni ruxsat etilganga va chiqishni o'sha bitta interfeysga cheklang. Faqat interfeysga bog'langan masquerade qoidasi o'zi marshrut tanlamaydi va boshqa hech qanday filtrdan o'tib uzatishga ruxsat bermaydi.
Muvaffaqiyatsizlikda yopilish xatti-harakatini oldindan hal qiling, so'ng uni sinab ko'ring. Keyingi yo'lni to'xtatib, mijozlar odatdagi yuqori kanalga jimgina qaytish o'rniga mo'ljallangan chiqishdan ayrilishini tasdiqlang, chunki trafik noto'g'ri eshikdan chiqa boshlaguncha hech kim sezmaydigan natija shu. Nomlarni hal qilish va IPv6 uchun tekshiruvni takrorlang, chunki faqat v4 uchun qoidalar to'plami v6 yo'lini ochiq qoldiradi.
To'xtagan to'rtta javobingizni va har birini isbotlovchi kuzatuvni yozib qo'ying. Siz tasvirlay oladigan tranzit yo'li keyingi hodisa ko'rib chiqishida himoya qila oladigan yo'lingizdir.