Ohun tí OpenVPN route-nopull ń dá dúró nínú ohun tí sáfà ń rán jáde

O fi route-nopull sínú profáìlì abánáṣe kí ọ̀nà inú má bàa gbé ipa-ọ̀nà àkọ́kọ́ rẹ mì, àti ní báyìí a kò lè dé abánáṣe ọ́fíìsì, nígbà tí abánáṣe náà ṣì ń sọ pé ó so pọ̀. Àwọn ìwòye méjèèjì tọ̀nà, kò sì sí ohun tí ó ti bàjẹ́. Àmì náà ń sọ fún abánáṣe pé kí ó fojú fo àwọn ipa-ọ̀nà àti àwọn àkọsílẹ̀ DHCP tí sáfà ń rán, èyí tí ó jẹ́ ìtọ́ni tóóró ju bí ọ̀pọ̀ ènìyàn ṣe retí nígbà tí wọ́n fi kún un. Ohun tí ó kù ni ọ̀nà inú tí ń ṣiṣẹ́ tí kò ní èrò nípa ibi tí ó yẹ kí ó lò ó.

Àlàfo yẹn ni gbogbo ìpinnu tí àpilẹ̀kọ yìí dá lé. Yálà sáfà ni ó ń ṣàpèjúwe nẹ́tíwọ́kì, tàbí abánáṣe, àmì náà sì fi iṣẹ́ yẹn lé abánáṣe lọ́wọ́ láìṣe ìkankan nínú rẹ̀ fún ọ.

Ohun tí àmì náà ń pa ní àkókò ìsopọ̀

Abánáṣe OpenVPN tí ń fa ohun èlò lẹ́yìn ìjẹ́rìí máa ń gba àkójọpọ̀ lọ́wọ́ sáfà: àwọn ipa-ọ̀nà, ìdarí ẹnubodè àkọ́kọ́, àwọn sáfà DNS, àti àwọn ìtọ́ni ìṣàtúnṣe mélòókan. Nígbà tí route-nopull bá ń ṣiṣẹ́, abánáṣe ṣì ń gba ìpàdé náà, ṣì ń yẹ ìwé ẹ̀rí wò, ṣì ń bá àwọn cipher àti keepalive sọ̀rọ̀, ó sì ṣì ń gbé ojú-ọ̀nà sókè. Ohun tí ó ń ju sílẹ̀ ni lílo àwọn ìlà route tí wọ́n rán àti àwọn ìlà dhcp-option tí wọ́n rán, pẹ̀lú DNS.

Ìdàrú náà wá láti inú gírẹ́ẹ̀nì aláwọ̀ ewé tí ó jókòó lẹ́gbẹ̀ẹ́ ètò kan tí ó ti kú. Ọ̀nà inú wà; àfihàn láti àwọn ibi lọ sí ọ̀nà inú yẹn kò sí. Kò sí ohun kan nínú pánẹ́ẹ̀lì ipò abánáṣe tí ó ń yà "ẹ̀sọ̀pọ̀ àti ìdarí" kúrò nínú "ẹ̀sọ̀pọ̀ àti aláìṣiṣẹ́", nítorí ní ojú wo ọ̀nà inú, méjèèjì jẹ́ ipò kan náà.

Kí ni ìdí tí ọ̀nà inú tí ó wà láàyè kò lè darí ohunkóhun

Ojú-ọ̀nà náà farahàn pẹ̀lú àdírẹ́sì tirẹ̀, àti lórí ìsopọ̀ ojú-kàn-sí-ojú, ní ọ̀pọ̀ ìgbà kò sí ohun kan tí ó ṣe pàtó ju ipa-ọ̀nà olùgbàlejò lọ sí alábàákẹ́gbẹ́. Abánáṣe ìkọ̀kọ̀ máa ń dé ààyè kìkì nígbà tí ipa-ọ̀nà kan bá tọ́ka sí ojú-ọ̀nà yẹn pẹ̀lú ìpilẹ̀ tí ó tọ́, àti nígbà tí a ti pa ìránṣẹ́ dé, ipa-ọ̀nà yẹn kì í dé rárá. Profáìlì tí wọ́n gbà wá kò sábà lè ràn ọ́ lọ́wọ́, nítorí wọ́n kọ ọ́ pẹ̀lú èrò pé sáfà yóò pèsè ìsọfúnni yìí gan-an. Ìdí nìyẹn tí ojú-ọ̀nà lè dàbí ẹni tí ó yá, nígbà tí abánáṣe náà ṣì wà nínú òkùnkùn.

Nítorí náà kíkà profáìlì ń fi díẹ̀ hàn. Dípò bẹ́ẹ̀, ka ipò tí ń ṣiṣẹ́ lórí ẹ̀rọ tí ó so pọ̀:

ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10

Àdírẹ́sì tí kò ní ipa-ọ̀nà abánáṣe nínú àṣẹ kejì ni àmì ìṣòro yìí. Àṣẹ kẹta dáhùn ìbéèrè tí ó kan àwọn olùlò gan-an, nítorí ó ń sọ ojú-ọ̀nà tí kọ́m̀pútà yóò yàn fún ibi kan pàtó, kì í ṣe àkójọ tí o ń retí pé yóò lò. Tí ó bá dáhùn nípasẹ̀ ìsopọ̀ ara rẹ, ọ̀nà inú kò sí ní ọ̀nà rárá.

Yíyọ orúkọ jáde kùnà fún ìdí tí ó ní í ṣe, kì í ṣe ìdí ọ̀tọ̀. Àwọn àkọsílẹ̀ dhcp-option DNS tí wọ́n rán ni àmì kan náà ń forí, nítorí náà àwọn ìbéèrè fún àwọn olùgbàlejò inú ni ó ń lọ sí olùyẹ́sí èyíkéyìí tí nẹ́tíwọ́kì àdúgbò pèsè. Olùyẹ́sí yẹn kò ní agbègbè fún ọ́fíìsì, nítorí náà ìbéèrè náà kùnà tàbí ó dá ìdáhùn gbangba padà, ìkùnà náà sì dàbí ìṣòro sáfà nígbà tí ó jẹ́ ìṣòro ìṣètò abánáṣe. Dídán àdírẹ́sì wò kí orúkọ tó wá ni ó ya àwọn méjì yẹn.

Yíyan láàrin àmì náà àti àlẹ̀mọ́ ìpilẹ̀

Àwọn àyànfẹ́ méjì yìí ń yanjú àwọn ìrísí ọ̀tọ̀ọ̀tọ̀ ti ẹ̀dùn kan náà, yíyan búburú sì ni ó ń mú ipò "so pọ̀ ṣùgbọ́n kò wúlò" wá. Ọ̀kan ń pààrọ̀ ìlànà tí wọ́n rán ní gbogbo rẹ̀, èkejì ń ṣàtúnṣe rẹ̀ nípasẹ̀ ìpilẹ̀. Tábìlì náà fún ọ ní ìkókó, àti àpilẹ̀kọ tí ó tẹ̀lé e ń sọ̀rọ̀ nípa apá tí ó ń mú àwọn ènìyàn ṣìnà.

pull-filter jẹ́ olùbáṣepọ̀ ìpilẹ̀ tí ó ní ọ̀rọ̀-ìṣe mẹ́ta, nítorí náà ó lè gba ìdílé ìlà, ó lè fojú fo wọ́n ní ìdákẹ́jẹ́, tàbí ó lè kọ ìsopọ̀ náà pátápátá nígbà tí ìpilẹ̀ kan bá farahàn. Ìwà tí ó kẹ́yìn ni ó yẹ kí a mọ̀: òfin ìkọ̀ ń sọ àìfaragbá ìlànà di ìfọwọ́sowọ́pọ̀ tí ó kùnà dípò ìfòrí tí ó dákẹ́. Ìwé ìtọ́nisọ́nà OpenVPN 2.6 ṣàlàyé àwọn ìpilẹ̀ tí wọ́n gbà àti ìtumọ̀ gbára kan fún ọ̀rọ̀-ìṣe kọ̀ọ̀kan.

Ọ̀nà àárín tí ó wọ́pọ̀ ni kíkọ̀ redirect-gateway nìkan kí àwọn ipa-ọ̀nà ọ́fíìsì àti DNS lè dé bí ó ti yẹ. Èyí ń jẹ́ kí ìránṣẹ́ náà máa ṣiṣẹ́ fún àwọn apá tí sáfà lóye ju ọ lọ, nígbà tí ó ń dẹ́kun ìlà kan ṣoṣo tí yóò gba ipa-ọ̀nà àkọ́kọ́ rẹ.

Fífi àwọn ipa-ọ̀nà àti olùyẹ́sí kúnra pẹ̀lú ọwọ́

Tí o bá pa àmì náà mọ́, profáìlì gbọdọ̀ sọ ohun tí sáfà ìbá sọ. Àwọn ìtọ́ni route ní ẹ̀gbẹ́ abánáṣe ni a máa ń lò lẹ́yìn tí a ti dá ìsopọ̀, nítorí náà wọ́n ń ṣiṣẹ́ pẹ̀lú àmì náà, wọn kì í ṣe ohun tí àmì náà dẹ́kun. Fi wọ́n sínú profáìlì, kì í ṣe sínú ìlà àṣẹ tí ń ṣiṣẹ́ pẹ̀lú, bí bẹ́ẹ̀ kọ, ìsopọ̀ tí ó tẹ̀lé e kò ní dá ipò tí ń ṣiṣẹ́ náà padà.

route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53

Ìlà DNS náà wà ní ibi tí kò rọrùn: ìtọ́ni ẹ̀gbẹ́ abánáṣe ni, ṣùgbọ́n àwọn abánáṣe kan máa ń lò ó kìkì nípasẹ̀ ìsopọ̀ DNS ti pẹtẹ́lì, èyí tí ó lè tún un kọ nígbà tí ìsopọ̀ bá yí padà. Lórí ẹ̀rọ systemd, fífi olùyẹ́sí sórí ojú-ọ̀nà ọ̀nà inú ní tààrà ni ó ṣe é lè mọ̀ tẹ́lẹ̀ ju bí a ṣe lè retí pé abánáṣe yóò borí ìjà ipò lọ:

resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.com

Agbègbè ìdarí ṣe pàtàkì bí àdírẹ́sì. Láìsí rẹ̀, àwọn ìbéèrè fún àwọn orúkọ gbangba lè tún lọ sí olùyẹ́sí inú, àti olùyẹ́sí inú èyíkéyìí tí ó kọ ìpadàwí yóò ba ìwádìí jẹ́ nígbà tí agbègbè ìkọ̀kọ̀ ṣì ń ṣiṣẹ́. Pẹ̀lú rẹ̀, àwọn orúkọ tí ó wà lábẹ́ èdè-ìparí yẹn nìkan ni a ń darí sí olùyẹ́sí ọ̀nà inú, gbogbo ohun mìíràn sì ń tẹ̀lé ìsopọ̀ ara.

Yíyẹ àbájáde wò: àdírẹ́sì, orúkọ àti ọ̀nà ìta

Àwọn ìdánwò mẹ́ta ń ya àwọn ìkùnà tí ó ṣeé ṣe kúrò. Gba àdírẹ́sì ìkọ̀kọ̀ nípasẹ̀ IP, lẹ́yìn náà olùgbàlejò kan náà nípasẹ̀ orúkọ, lẹ́yìn náà ojú-ìwé gbangba lasan. IP tí ń ṣiṣẹ́ pẹ̀lú orúkọ tí ó kùnà ń tọ́ka sí olùyẹ́sí; IP tí ó kùnà pẹ̀lú orúkọ tí ń ṣiṣẹ́ ń tọ́ka sí ìdarí; tí àwọn méjèèjì bá kùnà, ó sábà túmọ̀ sí pé ọ̀nà inú kò sí ní ọ̀nà.

Lẹ́yìn náà wo ìta dípò ìnú. Ipa-ọ̀nà tirẹ̀ ti ibi ìparí ọ̀nà inú gbọdọ̀ yè ìyípadà kọjá, àti ìdènà ìkùnà èyíkéyìí gbọdọ̀ wà nínú ọ̀nà inú láìgbá ibi ìparí. Abánáṣe tí ó ń tẹ̀síwájú nínú ìwádìí lẹ́yìn tí ọ̀nà inú bá ṣubú jẹ́ ìṣòro ìlànà, kì í ṣe ìdarí, kò sì ní farahàn nínú ọ̀kan nínú àwọn ìdánwò mẹ́ta lókè.

Kọ àkójọ ìkẹyìn sínú ìwé profáìlì: àwọn ipa-ọ̀nà, olùyẹ́sí, àwọn agbègbè, àti ìdí tí ọ̀kọ̀ọ̀kan fi wà. Ìsopọ̀ tí ó dá tábìlì kan náà padà ni ẹ̀rí kan ṣoṣo pé ìlànà àdúgbò pé. Tí àwọn ètò bá ṣì kùnà pẹ̀lú ọ̀nà inú lórí àti àwọn ìdánwò mẹ́ta gbogbo bá rékọjá, ibi tí ó tẹ̀lé láti wo ni ẹ̀ka ìṣòro "so pọ̀ ṣùgbọ́n kò sí lórí ìsopọ̀" kì í ṣe àwọn ìwé ẹ̀rí tí a ti yẹ wò.