Пусты спіс гульняў LAN праз OpenVPN? Праверце шлях выяўлення

Праверыць пінг да адраса тунеля іншага гульца і ўбачыць яго гульню на хосце — дзве розныя дасягненні. Спіс у лобі звычайна залежыць ад абмену выяўлення, напісанага для адной лакальнай сеткі, тады як сеанс гульні — звычайнае злучэнне з адрасам і портам. Калі лічыць пусты спіс збоем маршрутызацыі, вы пойдзеце да моста, які можа і не спатрэбіцца, таму аддзяліце два пытанні, перш чым нешта змяняць.

Аддзяліце далучэнне да сеансу ад яго пошуку

Няўдалае далучэнне паказвае на маршруты, правілы міжсеткавага экрана і службу, якая слухае. Паспяховае далучэнне з пустым спісам паказвае на выяўленне або на адрас, які нясе аб'ява. Гэтыя два вынікі вядуць да цалкам рознай працы, і адрозніць іх можна толькі свядома паспрабаваўшы першы.

Запішыце вынік, перш чым кранаць канфігурацыю VPN. Гэта самы танны тэст ва ўсім расследаванні, і ён адсякае палову прасторы рашэнняў. Занатуйце таксама адрас, які выкарыстоўвалі, бо ён стане кропкай адліку для кожнага наступнага тэсту. Без гэтага радка ў нататках наступнае параўнанне — здагадка.

Праверце прамое далучэнне, перш чым кранаць тунель

Калі гульня прапануе прамое злучэнне, выкарыстайце адрас тунеля хоста і дакументаваны порт гульні, а ўласную аўтэнтыфікацыю гульні і правілы міжсеткавага экрана хоста пакіньце нязменнымі. Паспяховае далучэнне звужае праблему да выяўлення. Няўдалае далучэнне ўсё яшчэ патрабуе свайго расследавання, і ніякі рэлей яго не выправіць.

Не мяркуйце, што порт выяўлення і порт сеансу — адзін і той жа нумар. Гульні звычайна абвяшчаюць на адным порце UDP і прымаюць гульцоў на іншым, а рэлей, пабудаваны для няправільнага, дае спіс, які ўсё роўна застаецца пустым.

Праверце таксама, які адаптар выбраў працэс хоста. Працэс, прывязаны да адраса хатняй LAN, абвясціць менавіта гэты адрас, і аддалены гулец не зможа да яго маршрутызавацца, нават калі аб'ява дойдзе. Спіс можа запоўніцца, а далучэнне ўсё роўна не ўдасца толькі з-за гэтага.

Зразумейце, дзе спыняецца шырокавяшчальнасць

Маршрутызаваны тунель TUN пераносіць IP-пакеты паміж аднарангавымі вузламі і не ўзнаўляе лакальнае шырокавяшчальнасць у сетцы кожнага вузла. Абмежаваны адрас шырокавяшчальнасці 255.255.255.255 застаецца ўнутры інтэрфейса, які яго выпускае, а шырокавяшчальнасць, накіраваная на падсетку, — асобны выпадак, а не агульная ліцэнзія для маршрутызатараў заліваць аб'явамі.

Гэта ўласцівасць праекта, а не дэфект, які латаецца опцыяй. OpenVPN і яго опцыя client-to-client кіруе трафікам паміж вузламі ўнутры тунеля і не з'яўляецца рэлеем выяўлення, хоць у многіх абмеркаваннях яе прапануюць менавіта для гэтага. Рэлей — асобны кампанент са сваёй канфігурацыяй і сваімі рэжымамі адмоваў. Меркаванне, што існая опцыя ўжо гэта пакрывае, — самая частая прычына, чаму расследаванне застойваецца.

Выяўленне праз multicast мае тую ж праблему з іншым класам адрасоў, і яму патрэбна маршрутызацыя multicast або рэлей, а не выключэнне для шырокавяшчальнасці.

Калі рэлей апраўданы, трымайце яго вузкім

Калі аўтаматычнае выяўленне — патрабаванне, спачатку вызначце фактычны абмен: шырокавяшчальнасць ці multicast, адрас прызначэння, порт UDP, інтэрфейс, які яго адпраўляе, і адрас унутры адказу. Рэлей, адпаведны пратаколу і абмежаваны гэтымі пяццю фактамі, значна вузейшы за пашырэнне цэлага сегмента Ethernet.

Перадача пакета без змяненняў можа ўсё яшчэ быць недастатковай. Калі карысная нагрузка кажа атрымальніку злучыцца з адрасам, да якога ён не дастане, рэлей дае бескарысны адказ, таму ўласны інтэрфейс гульні або налада абвешчанага адраса павінны быць апрабаваныя раней, чым з'явіцца хоць які рэлей.

Абмяжуйце рэлей тымі інтэрфейсамі і вузламі, якім ён патрэбны, і вызначце, як адказы знаходзяць пытальніка. Паўтарэнне старонніх шырокавяшчальных пакетаў выкрывае іншыя лакальныя службы і стварае петлі, якія потым балюча адладжваць.

Мост — толькі калі праект патрабуе Ethernet

Кадры Ethernet ідуць унутры TAP, таму тунель TAP можа належаць да наўмысна змастковага шырокавяшчальнага дамена. Проста замяніць dev tun на dev tap не будуе гэты мост, не робіць канфігурацыю сервера сумяшчальнай і не прымушае праграму выбраць новы інтэрфейс. Кіраўніцтва OpenVPN па маставанні апісвае шырэйшую схему, а не лекі для аднаго пустога лобі.

Маставанне таксама выраўноўвае план адрасоў, таму рашэнне заслугоўвае прычыны, большай за нецярплівасць. Дзве сеткі, што былі асобнымі, становяцца адной, і кожная служба з любога боку пачынае бачыць шырокавяшчальныя пакеты іншага боку. Гэтае наступства павінна трапіць у запіс змен, перш чым хтосьці гэта ўключыць. Няма правіла, што кліенты гульняў абавязаны сядзець у дыяпазоне 192.168; выберыце план без перакрыцця і праверце абмежаванні канкрэтнай гульні замест таго, каб перанумараваць тунель, бо так зрабіў пост на форуме.

Урэшце трымайце два вынікі асобна: ці можна далучыцца да хоста і ці абвяшчае адказ выяўлення адрас, які іншы гулец сапраўды можа выкарыстаць. Выпраўленне другога без пацверджання першага — гэта як людзі пачынаюць трымаць мост для праблемы, якая ніколі не была пра шырокавяшчальнасць.