route-gateway ليس redirect-gateway: ما الذي يتغير فعلاً
الخيار يوفّر فقط الخطوة التالية للمسارات التي يثبّتها OpenVPN. إزالته لا تُطفئ نفقاً كاملاً مدفوعاً، والإصلاح يخصّ إعادة التوجيه.
يُفتح نفقك، وتستجيب الشبكة الفرعية الخاصة، لكن التصفح العادي ما زال يختفي داخل VPN رغم أن أحدهم حذف سطر البوابة من الملف الشخصي. هذا المزيج هو بصمة التوجيه الخطأ الذي جرى تعديله. ما أُزيل كان يمنح العميل خطوة تالية للمسارات التي يثبّتها؛ وما بقي يلتقط حركة المرور جاء من مكان آخر ودُفع من الخادم. التغطية والخطوة التالية مهمتان منفصلتان، وواحدة فقط منهما تقرر هل تستخدم الوجهات العامة النفق.
السطر الذي حذفته كان خطوة تالية، لا مفتاح سياسة
كل مسار يثبّته العميل يحتاج عنوان بوابة يشير إليه، وتوجيه البوابة هو مصدر ذلك العنوان حين لا يسمّي المسار عنواناً بنفسه. احذفه فلا تجد تلك المسارات ما تتعلق به، فإما أن تفشل في التثبيت أو تهبط على مسار لا يؤدي إلى شيء. والشبكة الفرعية الخاصة هي بالضبط ما كان يحمله مسار كهذا.
في المقابل، للسلوك الذي بقي مؤلف آخر: خيار إعادة توجيه في الكتلة المدفوعة، ينقل حركة المرور الصادرة العادية إلى النفق وفق أعلامه. إزالة البوابة لا تعطّله ولا تضعفه. والنتيجة أسوأ الحالين، إذ تبقى حركة المرور العامة مُلتقطة ويصبح الوجهة الخاصة التي برّرت النفق غير قابلة للوصول. لهذا لا يغيّر التعديل الثاني، المصنوع بالروح نفسها، شيئاً أيضاً.
أربع روافع، أربع مهمات مختلفة
تُقتبس أربعة توجيهات بالتبادل في هذا النقاش، وواحد فقط منها يحكم التغطية، أي الوجهات التي تُوجَّه عبر النفق أصلاً. والثاني يحدد الخطوة التالية التي تستخدمها المسارات، والثالث يثبّت بادئة واحدة، والرابع يرمي كل ما دفعه الخادم، بما في ذلك المسارات الخاصة التي يحتاجها النشر. والجدول يرتّبها حسب ما يحاول المسؤول تغييره لا حسب الاسم، لأن الأسماء هي سبب الالتباس. تعامل معها كأربعة قرارات منفصلة واختر القرار الذي تريد عكسه فعلاً.
عملياً تصل الأربعة غالباً في كتلة مدفوعة واحدة، سطراً بعد سطر، ما يجعلها تبدو أجزاءً من إعداد واحد. لكنها ليست كذلك، و مرجع OpenVPN يوثّقها كآليات منفصلة لهذا السبب. معرفة القرار الذي تعكسه هي المهمة؛ أما التعديل فهو سطر واحد.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
رشّح السطر المدفوع، واحتفظ بالخطوة التالية
إذا وصلت التغطية التي تعترض عليها كخيار مدفوع، فالاستجابة الضيقة هي تجاهل ذلك الخيار بالاسم وترك بقية الكتلة المدفوعة سليمة. وإذا كُتب كمرشّح، فسيبدو مثل السطر أدناه، ومكانه في ملف العميل المتأثر لا في إعداد الخادم.
pull-filter ignore "redirect-gateway"الضيق هو المقصود. لأن المرشّح يقارن بادئة نصية، فإن نمطاً أقصر يطابق أيضاً توجيه الخطوة التالية، فيجرّد بالضبط المعلومات التي تعتمد عليها المسارات الخاصة ويعيد الخطأ الأصلي بثوب جديد. والمرشّح يعمل فقط على الخيارات المدفوعة، فلا يمسّ أبداً سطراً مكافئاً مكتوباً محلياً أو مفروضاً من مدير شبكة. أعد الاتصال بعد ذلك، لأن الجلسة الحيّة لا تعيد تقييم ما دفعه الخادم.
اقرأ البحث، لا الجدول
بعد إعادة تحميل الملف، اسأل النواة إلى أين ستذهب وجهتان فعلاً: واحدة داخل البادئة الخاصة وواحدة على الإنترنت العام. تفريغ الجدول الرئيسي كاملاً أصعب في القراءة وأسهل في سوء القراءة، لأن المسار قد يوجد ومع ذلك يخسر أمام تطابق أكثر تحديداً. وفي التوجيه القائم على السياسات، تنتمي القاعدة والجدول وعنوان المصدر أيضاً إلى الفحص.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showيستحق متغيّر def1 الإلمام به، لأنه يُبقي إدخال المسار الافتراضي القديم ظاهراً بينما يفوز زوج من أنصاف الافتراضي في البحث. لذا فإن سطر 0.0.0.0/0 في المخرجات لا يثبت شيئاً بحد ذاته. البحث يجيب عن السؤال الذي يبدو السرد أنه يجيب عنه.
DNS وIPv6 والمسار الخاص يجب أن تعمل جميعها
رفض إعادة توجيه IPv4 واحدة لا يقول شيئاً عن المحلّل، لذا قد يواصل خيار DNS مدفوع إرسال الاستعلامات إلى النفق بينما تبدو المسارات صحيحة. وقد يفعل افتراضي IPv6 الشيء نفسه لعائلة عناوين لم يمسّها فحص IPv4. كلاهما يحتاج قراراً صريحاً لا افتراضاً. ثم تأكد من أن الخدمة الخاصة ما زالت تستجيب، لأن نفقاً منقسماً فقد مساره الخاص ليس نفقاً منقسماً، بل نفقاً معطوباً.
أداة واحدة أوسع تستحق تحذيراً: route-nopull يتجاهل كل مسار مدفوع وكل خيار DNS مدفوع، وهذا يوقف النفق الكامل بالتأكيد ويكسر بالتأكيد كذلك المسارات الخاصة التي يعتمد عليها النشر، فهو مطرقة أكبر بكثير من مرشّح اسم يستهدف خياراً واحداً. افحص الوجهة الخاصة ووجهة عامة والمحلّل بعد أي تغيير، واعتبر المصافحة المكتملة دليلاً على لا شيء سوى المصافحة.