SSH orqali VPN mijozi ishga tushiryapsizmi? Avval o'z marshrutingizni mahkamlang
To'liq tunnel mijozi SSH javobingizni tashuvchi jadvalni qayta yozadi. Eski shlyuz orqali bitta host marshrutini mahkamlang yoki mijozni o'z nomlar fazosida ishga tushiring.
Siz SSH orqali qurish hostiga kirib, unda VPN mijozini ishga tushirasiz va sessiya javob berishni to'xtatadi. Hech narsa qulamadi va hech narsa ko'rinadigan ma'noda noto'g'ri sozlangan ko'rinmaydi. Mijoz standart marshrut o'rnatdi, shuning uchun ish stansiyangizga javoblar endi tunneldan chiqadi, u yerda ish stansiyangiz manzili marshrutlanmaydi. Qiziq tomoni shundaki, bu natija oldindan aytib olinadigan edi va tuzatish mijoz boshlanishidan oldin yoziladigan bitta marshrutdir. Bitta tarmoq kartasi bo'lgan server, 192.0.2.254 shlyuzi va 203.0.113.9 manzilidan ulanadigan administrator deb faraz qiling.
Boshlashdan oldin yo'lni yozib oling
ip route show default joriy shlyuz va interfeysni nomlaydi, ip route get 203.0.113.9 esa yadro sizning sessiyangiz uchun qaysi interfeys va manba manzilidan foydalanishini ko'rsatadi. Ikkala chiqishni ham saqlang. Tunnel ko'tarilgandan keyin ham bu ikki buyruq jismoniy yo'lni tasvirlashi kerak, agar ular o'rniga tunnelni tasvirlasa, sessiya allaqachon qarzga olingan vaqtda yashayapti.
Muhimi allaqachon o'rnatilgan ulanish, shuning uchun faqat yangi kirish bilan tekshirmang. Yangi sessiya eskisida endi yo'q holat tufayli qisqa vaqt muvaffaqiyatli bo'lishi mumkin.
Manzilni mijozning o'z konfiguratsiyasida mahkamlang
Qo'lda qo'shilgan marshrut qayta yuklashda yo'qoladi va mijozning o'z jadval yangilanishlari bilan raqobatlashadi, shuning uchun istisnoni jadval boshqariladigan joyga qo'ying. OpenVPN ichida net_gateway kalit so'zi tunneldan oldin mavjud bo'lgan shlyuzga hal qilinadi, shuning uchun route 203.0.113.9 255.255.255.255 net_gateway uning tashqarisida aniq bitta manzilni saqlaydi. WireGuard boshqa yondashuvni talab qiladi, chunki wg-quick marshrutlarni o'zi boshqaradi: Table = off ni o'rnating va istisnoni PostUp ichiga qo'shing, uni olib tashlaydigan mos PostDown bilan birga. Ikkala shakl ham bir niyatni ifodalaydi va ikkalasi ham istisnoni hamma narsa uchun tunnelni zaiflashtirish o'rniga bitta manzil bilan cheklaydi.
IPv6 uchun xuddi shu fikr bitta host prefiksini oladi va o'ralgan transport holatini eslab qolishga arziydi: agar tunnelning o'z tashqi ulanishi qat'iy manzilda yashasa, bu manzil o'zi tashuvchi tunneldan tashqarida qolishi kerak, aks holda mijoz o'z transportini o'z ichiga yo'naltiradi.
Yoki asosiy jadvalni tenglamadan chiqarib tashlang
Hostdagi bir nechta xizmat odatdagi yo'lini saqlab qolishi kerak bo'lsa, asosiy jadvalni tahrirlashni to'xtating va mijozga o'zinikini bering. veth juftligi bo'lgan tarmoq nomlar fazosi buni toza qiladi: mijozning standart marshruti boshqa stekda yashaydi va tunnelni faqat uning ichida ishga tushirilgan jarayonlar ishlatadi. Siyosiy marshrutlash bitta manzil uchun shunga o'xshash joyga etib boradi, mos trafikni standarti hali ham jismoniy shlyuzga ishora qiladigan maxsus jadvalga yuborish orqali. Ikkala yondashuv ham hostning asosiy jadvalini yangi standart marshrutsiz qoldiradi va aynan shu xususiyat SSH ni javob beruvchi holatda saqlaydi.
Ikkalasi ham bitta host marshrutidan ko'proq mexanizm va mashinada birdan ortiq narsa tunneldan omon o'tishi kerak bo'lganda ikkalasi ham arziydi.
Mahkamlash muvaffaqiyatsiz bo'lishi mumkin deb o'ylang
Joriy ommaviy manzilingizga bog'langan marshrut provayderingiz uni qayta tayinlagan lahzada buziladi. Shunda uzoq serverga bu manzilga bog'liq bo'lmagan yo'l kerak: konsol, ikkinchi boshqaruv interfeysi yoki tunneldan tashqarida qoladigan sakrash hosti.
Ikki himoya chorasi o'n daqiqa vaqt oladi. Bir necha daqiqa ichida tasdiqlash kirishi ko'rinmasa mijozni to'xtatadigan qo'riqchi bloklanishni kechikishga aylantiradi va o'zgarish paytida ochiq tutilgan ikkinchi SSH sessiyasi tunnel ko'tarilganda istisnaning ishlashini isbotlaydi. Faqat keepalive bu yerda yordam bermaydi, chunki yo'l bo'sh emas, ketgan; ular faqat o'limni payqashni osonlashtiradi.
Muhim tartibda tekshiring
Tunnelni ulang, manzilingizga boradigan marshrut hali ham jismoniy shlyuz orqali chiqishiga ishonch hosil qiling, keyin yangi sessiya oching. Agar yangi sessiya ishlasa va eskisi baribir o'lsa, sabab marshrutlash emas, ulanishlarni kuzatish yoki holatga ega firewall, bu boshqa tuzatish.
Mahkamlangan manzilni va uni isbotlagan buyruqni o'zgarishlar jurnaliga yozing. O'sha hostda keyingi safar mijoz ishga tushiruvchi kishiga ikkalasi ham kerak bo'ladi va manzil o'sha vaqtgacha o'zgargan bo'lishi mumkin.