OpenVPN-də marşrut hara aiddir: müştəriyə, yoxsa serverə?
Server konfiqurasiyasındakı çılpaq marşrut serveri dəyişir, müştərini yox. Müştəri faylını, qlobal push-u və ya bir müştəriyə push-u seçin və nəyin gəldiyini yoxlayın.
Siz route 10.60.0.0 255.255.255.0 sətrini server konfiqurasiyasına əlavə edir, yenidən başladır, noutbuku yenidən qoşursunuz, amma alt şəbəkə həmin noutbukdan hələ də əlçatmazdır. Sətir qəbul olundu, xidmət təmiz başladı və jurnalda heç nə səhv görünmür. Baş verən odur ki, marşrut redaktə etdiyiniz maşında quraşdırıldı: şlüz artıq həmin prefiksə çata bildiyini düşünür, müştəriyə isə heç nə deyilmədi. Yerləşdirmə bütün məsələdir və eyni sətrin yaşaya biləcəyi dörd yer var.
Dörd yer və hər birini kim alır
Marşrut müştərinin öz konfiqurasiyası ilə əlavə oluna, qlobal push vasitəsilə hər müştəriyə təklif edilə, müştəriyə xas fayl vasitəsilə bir müştəriyə təklif edilə və ya serverin öz marşrutlaşdırma kontekstinə yazıla bilər.
Bu dörd hal demək olar ki, eyni sintaksisdən istifadə edir və tamamilə fərqli nəticələr verir. İlk üç hal müştərinin tunelə nə göndərdiyinə təsir edir; dördüncü hal serverin şəbəkəyə necə çatmasına təsir edir, bu da serverin özünə yol lazım olduqda faydalı, paylama ilə səhv salındıqda isə zərərlidir.
Sətri yazmazdan əvvəl dördündən hansını istədiyinizə qərar verin, sonra alıcını təsdiqləyin.
| Placement | Effect | Receiver |
|---|---|---|
| Client profile route | Installed by the client at connect | That client only |
Global push "route ..." | Sent to every client that accepts pushed options | All pulling clients |
| Client-specific push | Sent to the matching client context | One identity |
| Server config route, no push | Added to the server's own table | The gateway itself |
Çılpaq server marşrutu niyə insanları təəccübləndirir
Server konfiqurasiyası administratorların ilk baxdığı yerdir və oradakı marşrut direktivi VPN şəbəkəsi haqqında bəyanat kimi oxunur. Belə deyil. OpenVPN onu demonun işlədiyi maşında yerli marşrut quraşdırması kimi qəbul edir, bu da ip route ilə edib sonra unutduğunuz dəyişikliyin eyni növüdür.
Paylama marşrutun push edilməsini tələb edir, push isə müştərinin pull etməsini tələb edir. Çəkilmiş seçimlər söndürülmüş halda başladılan müştəri təklifi tamamilə nəzərə almır. Server faylını yenidən yazmazdan əvvəl bu əl sıxışmasının hər iki ucunu yoxlayın, çünki server jurnalı şikayət etməyəcək: öz tərəfindən təklif göndərildi. Qəbul edilmiş marşrut da yalnız növbəti qoşulmada qüvvəyə minir, heç vaxt artıq içində olduğunuz sessiyada yox.
İki əməliyyatı ayrı görməyə başlayanda nasazlıq sirli olmaqdan çıxır: server prefiksə çatır, müştəri çatmır və hər iki ifadə eyni vaxtda doğrudur.
Müştəriyə xas fayllar və uyğunlaşdıqları kimlik
Müştəriyə xas fayl serverin autentifikasiya etdiyi kimliyin adını daşıyır, bu da standart olaraq sertifikatın ümumi adıdır. Masaüstü müştəridəki dostyana bağlantı adı o dəyər deyil və uyğunsuzluq heç vaxt oxunmayan fayl yaradır.
Serverin faktiki istifadə etdiyi kataloqu yoxlayın, sonra fayl adının autentifikasiya olunmuş kimliklə hərf hərf, böyük-kiçik hərflər də daxil olmaqla, tam uyğun olduğunu təsdiqləyin.
grep -n 'client-config-dir' /etc/openvpn/server/server.conf
ls -l /etc/openvpn/ccd/Həmin faylın içində marşrut yenə də push edilməlidir, çünki müştəriyə xas kontekst yerli marşrut cədvəli deyil, həmin müştərinin sessiyasına tətbiq olunan seçimlər toplusudur. Oradakı çılpaq marşrut qlobal fayldakı çılpaq marşrutla eyni problemə malikdir.
Müştərinin öz faylı və ona sahib olan alət
Müştərinin konfiqurasiyasına yerləşdirilmiş marşrut o müştəri qoşulanda quraşdırılır və ayrılanda silinir, bu da statik təyinat üçün düzgün həyat dövrüdür.
Əgər profila şəbəkə meneceri sahibdirsə, o, bu seçimləri bir dəfə idxal edib sonra öz surətini saxlaya bilər. Yüklənmiş faylı sonradan redaktə etmək heç nəyi dəyişmir, bu da "marşrut var, amma tətbiq olunmur" ifadəsinin geniş yayılmış mənbəyidir.
Yüklədiyiniz faylı deyil, aktiv profili yoxlayın və menecerin göstərdiyi idxal edilmiş parametrləri yoxlayın. Sonra qoşulun və sistemdən konkret ünvanın hansı yoldan istifadə etdiyini soruşun, marşrut mətn faylında olduğu üçün tunelin qazandığını güman etmək əvəzinə.
Müştəridə yoxlayın, sonra qayıdış yolunu yoxlayın
Müştərinin öz marşrut cədvəlindən təyinatı soruşun, serverinkindən yox. Prefiks daxilində tək bir host üçün axtarış istifadə olunacaq interfeysi və növbəti hoppu göstərmək üçün kifayətdir.
ip route get 10.60.0.10Axtarış tunelə işarə edirsə, paylama işləyib və qalan problem başqa yerdədir. Əgər standart şlüzə işarə edirsə, marşrut quraşdırılmayıb, müştəri tərəfindəki seçimlə süzülüb və ya müştərinin istifadə etmədiyi profilə aiddir.
Tutaq ki, paylama işləyib və hələ də heç nə cavab vermir: onda şlüzdə yönləndirməni, qarşı tərəfin qayıdış marşrutunu və aralarındakı hər hansı firewall-u yoxlayın. Marşrut yol seçir, giriş vermir.