من يجب أن يملك المسارات وDNS عندما يتصل openfortivpn؟

تتراكم أربع مراحل فوق بعضها في جلسة openfortivpn عاملة. يصادق العميل عند البوابة ويبدأ اتصال TLS، ثم يشغّل PPP داخل ذلك الاتصال، ثم يتلقى عنوانًا ومعلومات DNS، وأخيرًا يطبّق مسارات المضيف وإعدادات المفسّر. قد تكون كل مرحلة حيّة بينما التالية ليست كذلك، ولهذا تكون كلمة “متصل” زلقة إلى هذا الحد في خيوط الدعم.

القرار الذي يزيل معظم الالتباس هو من يملك المرحلة الأخيرة. إما أن يطبّق عميل VPN تغييرات المضيف بنفسه، أو يقوم مكوّن آخر بذلك، وخلط الاثنين إلى منتصف الطريق هو كيف ينتهي الأمر بالمسارات وملفات المفسّر إلى وصف جلسات مختلفة.

أربع مراحل تبدو كأنها اتصال واحد

المرحلة الأولى هي القبول. نطاق مصادقة مسمّى أو رمز لمرة واحدة، ويتلقى المعاملات التي يحتاجها للمتابعة. عندما يطبع العميل أنه متصل بالبوابة، فهذا يعني أن نقل TLS قائم. ولا يعني أن PPP تفاوض، وبالتأكيد لا يعني أن تطبيقًا داخليًا يمكن الوصول إليه.

المرحلة الثانية هي رابط PPP. يبدأ العميل عملية PPP مقابل جهاز النفق، ويتفاوض الجانبان على خيارات الرابط والعناوين. وبعد ذلك فقط يعرف المضيف العناوين المحلية والبعيدة التي تستخدمها الجلسة، وعندها فقط يمكن لمسار يشير إلى النفق أن يكون منطقيًا.

المرحلة الثالثة هي تطبيق تلك المعلومات على المضيف، وهنا تهم الملكية. يمكن للعميل إضافة المسارات وإعادة كتابة إعداد المفسّر، أو يمكن إخباره بالتراجع وترك الأمرين لأي شيء آخر يدير الشبكة على ذلك الجهاز. و README يصف ذلك كمسؤوليات منفصلة بدلًا من سلوك تلقائي واحد.

من يحرّر جدول التوجيه

افتراضيًا يكون العميل هو المالك. يضيف مسارًا نحو البوابة عبر الواجهة الفيزيائية، ومسارًا لنظير النفق، ومسارات للشبكات المسموح للجلسة باستخدامها، ثم يزيلها عند خروج العملية. هذا الافتراضي مناسب على حاسوب محمول يدير شبكته مدير واحد ولا يوجد فيه برنامج VPN آخر.

اختر التسليم فقط عندما يملك شيء آخر التوجيه فعليًا. قد يعرف تكامل مدير الشبكة أو فضاء أسماء شبكة حاوية أو وكيل توجيه على مستوى الموقع بالفعل كيفية تثبيت البادئات نفسها وتنظيفها. ويمنع تمرير خيار no-routes عندئذ كاتبين من التنازع على الجدول نفسه، وهو سباق يظهر كفقدان متقطع لشبكة فرعية واحدة بدلًا من فشل نظيف.

التداخل هو السبب الثاني للتسليم. إذا تضمّنت المسارات المدفوعة بادئة تستخدمها الشبكة المحلية بالفعل، فلا يمكن للعميل حل التعارض عنك. على أحدهم أن يقرر ما إذا كانت تلك البادئة يمكن الوصول إليها عبر النفق أو عبر الرابط الفيزيائي أو عبر مسار أكثر تحديدًا، وهذا القرار يخص من يملك الطوبولوجيا.

التنظيف هو الثالث. العميل الذي ينهار قبل إزالة مساراته يترك ثقبًا أسود يعيش أطول من الجلسة، وقد يضيف الاتصال التالي نسخة مكررة فوقه. ومن يملك التوجيه يملك أيضًا التحقق من أن المدخلات القديمة اختفت. اجعل ذلك الفحص جزءًا من مسار بدء التشغيل، لا خطوة تنظيف اختيارية.

من يملك DNS وملف المفسّر

DNS هو القرار نفسه بحدود أحدّ. يمكن للعميل قبول خوادم DNS التي تعلنها البوابة أو نظير PPP وكتابتها في إعداد المفسّر على المضيف. على جهاز بسيط هذا هو بالضبط ما تريده، لأن الأسماء الداخلية تُحلّ عندئذ فقط بينما النفق قائم.

على مضيف Linux حديث قد يدير المفسّر وكيل محلي، وإعادة كتابة ملف المفسّر خلف ظهر ذلك الوكيل تنتج إعدادًا يبدو صحيحًا ويتصرف بشكل غير متسق. إذا كان المضيف يشغّل بالفعل مدير مفسّر، فدعه يملك DNS وزوّده بخوادم النفق عبر واجهته المدعومة. خيار no-dns في العميل هو الخيار الصحيح هناك، وليس حلًا بديلًا.

DNS المنقسم سؤال منفصل عن من يكتب الملف. إرسال كل استعلام عبر النفق بسيط وبطيء؛ وإرسال المناطق الداخلية فقط عبره يتطلب إعدادًا لكل نطاق لا توفره معظم العملاء البسيطة. قرّر أي سلوك يحتاجه المضيف قبل تمكين تغييرات المفسّر في العميل. الاختيار الخاطئ هنا يبدو كانقطاع في حل الأسماء حتى عندما يكون النفق نفسه سليمًا.

الصلاحية والجاهزية والتسليم

إنشاء جهاز النفق وتحرير مسارات المضيف أو حالة المفسّر يتطلبان سلطة شبكة مرتفعة. الخطأ الشائع هو الاستنتاج بأن كل شيء يجب أن يعمل لذلك بصلاحيات الجذر، بما في ذلك المتصفح أو التطبيق الذي يستخدم النفق. أبقِ الجزء المميّز صغيرًا: العميل وملف إعداده، يملكهما مسؤول، بينما تحتفظ تطبيقات المستخدم بحسابها العادي.

يجب تعريف الجاهزية لكل مستهلك. يمكن لمشرف أن يعتبر الخدمة قد بدأت عندما تكون عملية العميل قيد التشغيل وجهاز النفق موجودًا. ويجب أن تعتبر مهمة نسخ احتياطي VPN صالحًا فقط عندما تستجيب نقطة تخزينها عبر النفق. تلك فحوص مختلفة، واستخدام الأضعف منها لغرض أقوى ينتج مهامًا تبدأ مبكرًا جدًا وتفشل بشكل متقطع. اكتب التعريف المختار، لأن مشرفًا ومهمة يختلفان حول الجاهزية هما تذكرة دعم في انتظار الحدوث.

اختبر العقد بأربع ملاحظات: تكتمل مرحلة البوابة، ويعيّن PPP العناوين، ويكون المسار المقصود موجودًا، وينجح طلب إلى مضيف داخلي. ثم أوقف العميل وتأكد من إزالة كل واحد من تلك الأمور أو استعادته. إذا ظل المضيف يحل الأسماء الداخلية أو ظل يحمل مسارًا بعد إغلاق النفق، فإن تسليم الملكية غير مكتمل.