pull-filter OpenVPN bá pọ̀ ju ọ̀nà tí o ní lọ́kàn lọ

O fi ìlà kan kún un kí o lè pa ọ̀nà àkọ́kọ́ àdáni rẹ mọ́, àti lẹ́yìn náà ojú-ìmọ́ kò tún dé ibi olùpèsè DNS inú mọ́. Ìlà yẹn ni pull-filter ignore "route", èyí tí kì í ṣe "fojú fo ọ̀nà yìí". Ó túmọ̀ sí "sọ gbogbo àṣàyàn tí wọ́n push tí àkọsílẹ̀ rẹ̀ bẹ̀rẹ̀ pẹ̀lú àwọn lẹ́tà márùn-ún yẹn nù", àti lórí olùpèsè déédéé ìyẹn wí àwọn route-gateway, route-metric àti route-ipv6 pẹ̀lú àwọn ọ̀nà fúnra wọn. Àkójọ àyẹ̀wò tí ó wà nísàlẹ̀ ni ohun tí mo máa ń ṣe kí n tó fi ọwọ́ kan profáìlì tí ẹlòmíràn gbọ́dọ̀ lò.

Àṣàyàn tí wọ́n push nìkan ni àlẹ̀mọ́ náà kan

pull-filter ṣiṣẹ́ lórí àwọn ìlà àṣàyàn tí olùpèsè máa ń rán lẹ́yìn tí ojú-ìmọ́ ti dá, àti lórí kò sómíràn. Àwọn àṣàyàn tí a kọ sínú fáìlì àdáni rẹ kò ní ìpa kankan, bẹ́ẹ̀ ni ìrìnàjò àwọn ohun èlò kò ní. Bí o bá ń retí láti dá ìlànà kan dúró kí ó má lò ojú-ìmọ́, èyí ni irinṣẹ́ tí kò tọ́ rárá, kò sì sí ìdàpọ̀ àlẹ̀mọ́ kankan tí yóò ṣe bẹ́ẹ̀.

Ìwọ̀n yẹn wúlò, nítorí ó túmọ̀ sí pé o lè fi ètò olùpèsè sílẹ̀ bẹ́ẹ̀ kí o sì kọ apá kan nù ní àdúgbò. Ó tún jẹ́ ààlà tí ó yẹ kí a kọ sínú tíkẹ́ẹ̀tì: àlẹ̀mọ́ ń yí ohun tí ẹ̀rọ yìí gbà padà, kì í ṣe ohun tí olùpèsè ń fi lọ́wọ́. Kò ní ìpa lórí àwọn olùlò mìíràn ti profáìlì kan náà. Kò tún dúró nígbà tí a bá yípadà sí ẹ̀rọ mìíràn tí kò ṣe àṣàyàn yìí, èyí tí ó yẹ kí a mọ̀ kí a tó kọ́ ìṣàn iṣẹ́ lé e lórí.

Ṣe àyẹ̀wò ohun tí olùpèsè ń rán gan-an kí o tó kọ àpẹẹrẹ náà. Ní ìpele àlàyé gíga, ẹ̀rọ náà máa ń tẹ okùn àwọn àṣàyàn tí wọ́n push tí ó gbà jáde, àti pé ìyẹn ni orísun òdodo kan ṣoṣo fún àkọsílẹ̀ pípé tí ìwọ ń fi wé:

sudo openvpn --config /etc/openvpn/corp.ovpn --verb 4
sudo grep -n 'pull-filter' /etc/openvpn/corp.ovpn

Ka ìlà tí wọ́n push gẹ́gẹ́ bí àkójọ àṣàyàn tí a fi kọ́mà pín, kí o sì kíyèsí pé a fi àlàfo pín orúkọ àṣàyàn àti àwọn àríyànjiyàn wọn. A fi àkọsílẹ̀ àlẹ̀mọ́ rẹ wé ìṣàn yẹn, ìdí nìyẹn tí àwọn àlàfo fi ṣe pàtàkì tó ní ìgbésẹ̀ tó ń bọ̀.

Ìbámu jẹ́ ìbẹ̀rẹ̀, nítorí náà àwọn àlàfo ni gbogbo eré

Ìfiwéra jẹ́ ìbẹ̀rẹ̀ okùn, kì í ṣe orúkọ àṣàyàn tí a ti ṣàyẹ̀wò. Nítorí náà "route" bá route-gateway 10.8.0.1, route-ipv6 2001:db8::/32 àti route-metric 100 mu. Àlàfo kan ní ìparí ń dín a kù sí ẹbí tí o ní lọ́kàn, àti ìbẹ̀rẹ̀ kíkún ń dín a kù síbi àfojúsùn pàtó kan.

Ìlà tó gbẹ̀yìn ni èyí tí ó ń mú àwọn ènìyàn nígbà iṣẹ́ ojú-ìmọ́ pínpín. Pípa aláṣeyọrí rẹ mọ́ jẹ́ àṣàyàn tí ó tọ́, ó sì túmọ̀ sí pé gbogbo orúkọ inú ń gbára lé aláṣeyọrí tí kò lè rí àgbègbè àdáni. Ìyẹn jẹ́ àbájáde tí a mọ̀ọ́mọ̀ gbà, kì í ṣe ipa ẹ̀gbẹ́ tí a máa ń rí ní ìmújáde.

Ìbámu ìbẹ̀rẹ̀ tún túmọ̀ sí pé òfin kan lè gbòòrò sí i ní ìdákẹ́jẹ́ lẹ́yìn. Nígbà tí olùpèsè bá fi àṣàyàn tuntun kún un tí ó bẹ̀rẹ̀ pẹ̀lú àkọsílẹ̀ rẹ, àlẹ̀mọ́ rẹ bẹ̀rẹ̀ sí kàn án láìsí pé ẹnikẹ́ni ṣàtúnṣe profáìlì rẹ. Ìyẹn ni ipò ìkùnà tí ó yẹ kí a ṣe àpẹẹrẹ lòdì sí, àti ìdínkù ni láti bá ọ̀pọ̀ jùlọ apá àṣàyàn mu, kì í ṣe díẹ̀ jùlọ.

Àwọn ọ̀rọ̀-ìṣe mẹ́ta pẹ̀lú àbájáde mẹ́ta

accept, ignore àti reject kì í ṣe ọ̀nà mẹ́ta láti kọ èrò kan náà. Wọ́n yàtọ̀ ní ohun tí ẹ̀rọ ń ṣe pẹ̀lú ìbámu àti ní bóyá ẹnikẹ́ni yóò mọ̀.

ignore ń sọ àṣàyàn tí ó bá mu nù ní ìdákẹ́jẹ́, èyí ni ohun tí o fẹ́ fún ètò tí o ti mọ̀ọ́mọ̀ rọ́pò. reject ń sọ ọ́ nù, ó sì mú kí ẹ̀rọ ṣàròyé, èyí ni ohun tí o fẹ́ nígbà tí àìsí rẹ̀ yẹ kí ó hàn nínú àkọsílẹ̀ ju kí a ṣàwárí rẹ̀ lẹ́yìn. accept ni ìrísí rere, a máa ń lò ó nígbà tí ìwọ ń kọ́ àkójọ ìyọ̀ǹda ju pé o ń yọ àwọn àṣàyàn kọ̀ọ̀kan kúrò.

Ẹnikẹ́ni ọ̀rọ̀-ìṣe tí o bá lò, a máa ń lo àwọn àlẹ̀mọ́ ní ìtẹ̀léntẹ̀lé tí wọ́n ti farahàn, nítorí náà òfin méjì tí ó ń wọlé lórí ara wọn máa ń mú àbájáde tí ó gbára lé ìtẹ̀léntẹ̀lé, èyí tí ó ṣòro gan-an láti ṣàyẹ̀wò. Pa òfin kan mọ́ fún ète kọ̀ọ̀kan kí o sì fi àkọsílẹ̀ tí ó ṣe pàtó jùlọ sínú ọ̀kọ̀ọ̀kan. Bí o bá nílò àkójọ ìyọ̀ǹda, yàn òfin accept mélòó kan ju àkójọpọ̀ òfin ignore tí wọ́n parapọ̀ sí ohun kan náà. Nígbà náà àwọn olùṣàyẹ̀wò lè ka fáìlì náà láti orí dé ìsàlẹ̀ kí wọ́n sì sọ àsọtẹ́lẹ̀ àbájáde, ìyẹn sì ni ìdánwò kan ṣoṣo tí ó ń gbòòrò.

Ṣàyẹ̀wò ọ̀nà àti aláṣeyọrí tí a lò, kì í ṣe profáìlì

Àlẹ̀mọ́ tí ó dà bí ẹni pé ó tọ́ nínú fáìlì lè fi ọ́ sílẹ̀ pẹ̀lú ojú-ìmọ́ tí kò ń darí ohunkóhun tí ó wúlò. Ṣe àyẹ̀wò ìpa lórí ẹ̀rọ tí ń ṣiṣẹ́, níbi tí a ti lo àwọn àṣàyàn push tàbí tí a ti sọ wọ́n nù:

ip route show default
ip route show | grep -c 'proto static'
resolvectl status | grep -A4 'Link.*tun0'
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://intranet.example.internal/

Àwọn ìlà méjì àkọ́kọ́ sọ fún ọ bóyá ọ̀nà àkọ́kọ́ tí wọ́n push ti dé àti iye àwọn àkọsílẹ̀ dúró ṣinṣin tí ó kù. Ìbéèrè aláṣeyọrí fi hàn irú olùpèsè tí ẹ̀rọ ojú-ìmọ́ ń lò gan-an, àti níbẹ̀ ni ìyàlẹ́nu DNS máa ń farahàn. Ìlà tó gbẹ̀yìn dá ìdáhùn fún ìbéèrè kan ṣoṣo tí ó ṣe pàtàkì fún olùlò.

Dán àwọn ọ̀nà méjèèjì wò nígbà tí o bá wà níbẹ̀. Òfin tí ó pa íntánẹ́ẹ̀tì àdáni rẹ mọ́ ní ṣíṣiṣẹ́ ṣùgbọ́n tí ó fọ́ ìyọ́nú orúkọ inú ní ìdákẹ́jẹ́ ń kọjá àyẹ̀wò ojú-ojú, ó sì ń kùnà ní iṣẹ́ gidi àkọ́kọ́, nítorí náà fi orísun inú kan àti ojú-òpó kan sínú ìdánwò kan náà.

Kọ ìyàtọ̀ àti ẹni tí ó ni í sílẹ̀

Àlẹ̀mọ́ jẹ́ ìyàtọ̀ sí àpẹẹrẹ olùṣiṣẹ́, nítorí náà kọ ọ́ pẹ̀lú ìdí àti ibi àyẹ̀wò. "Ń fojú fo àwọn ọ̀nà push láti pa àkọ́kọ́ àdáni mọ́" ni a lè ṣàyẹ̀wò; ìlà òfo nínú profáìlì kì í ṣe bẹ́ẹ̀, ẹni tó kàn yóò sì pa á rẹ́ tàbí kí ó gbòòrò rẹ̀ pẹ̀lú àfojúsùn.

Ẹ̀yà kan náà tún ṣe pàtàkì níbí. A ti ṣe àtúnṣe ìhùwàsí ìbámu àti àdàpọ̀ ọ̀rọ̀ tí a gbà gan-an káàkiri OpenVPN 2.4, 2.5 àti 2.6, nítorí náà jẹ́rìí àpẹẹrẹ náà pẹ̀lú ìwé ìtọ́nisọ́nà ti bííbù tí o ń pín, kì í ṣe pẹ̀lú ìfìwérán ayélujára nípa ìtúsílẹ̀ àtijọ́. Ìwé ìtọ́nisọ́nà OpenVPN 2.6 ṣàkọsílẹ̀ àṣàyàn yìí àti òfin ìbámu rẹ̀.

Níkẹyìn, gbà ìyàtọ̀ náà pẹ̀lú ẹni tí ó ń darí olùpèsè. Àlẹ̀mọ́ ẹ̀gbẹ́ ẹ̀rọ tí ó tako ìlànà olùpèsè tí a mọ̀ọ́mọ̀ dá jẹ́ ìṣẹ̀lẹ̀ àtìlẹ́yìn tí ó ń dúró de àyẹ̀wò tó ń bọ̀, ó sì rọrùn ju láti yanjú rẹ̀ kí a tó pín profáìlì náà ju bí ẹnìkan bá ṣàkíyèsí pé àwọn ọ̀nà kò sí.