Імпартаваныя маршруты VPN адрозніваюцца ад працуючага кліента? Параўнайце абодва

Некаторыя прыватныя сэрвісы адказваюць праз VPN, а звычайны інтэрнэт-трафік паводзіць сябе зусім не так, як на машыне калегі, і хочацца зрабіць выснову, што кліент Ubuntu зламаны. Гэтая выснова прапускае адзін крок. Працуючая прыватная аперацыя і іншы публічны шлях — гэта два назіранні, і розніца звычайна ў палітыцы трафіку, якую ўсталяваў кожны кліент, а не ў самім кліенце.

Параўнанне захаванай канфігурацыі з фактычным станам сеткі патрабуе трох каманд і адказвае на пытанне, на якое спрабавалі адказаць здагадкі.

Спачатку захаваны профіль, потым фактычны стан

Імпартаванае злучэнне OpenVPN становіцца асобным профілем NetworkManager. Файл .ovpn, з якога яно ўзялося, перастае быць крыніцай праўды ў момант завяршэння імпарту, таму пазнейшае рэдагаванне гэтага файла нічога не змяняе ў злучэнні, якім вы карыстаецеся. Гэта першае месца, дзе параўнанне ідзе не так, і яно ідзе не так маўкліва.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Чытайце UUID, калі імёны супадаюць; дублікаты імён перажываюць пераўсталёўкі і аднаўленні профіляў, і вы можаце выдаткаваць гадзіну на рэдагаванне копіі, якая не выкарыстоўваецца. Значэнні, якія вы бачыце, апісваюць захаваныя намеры: ці можа профіль браць маршрут па змаўчанні, якія маршруты захаваны і якія рэзалверы і дамены пошуку ён запытвае. Яны не апісваюць, што адбылося пры актывацыі злучэння, бо плагін або штуршок сервера могуць дадаць стан, пра які профіль не згадвае. Вось чаму важная наступная каманда.

Затым паглядзіце, што сістэма фактычна зрабіла з гэтым намерам, уключаючы правілы палітыкі і ўсе табліцы, а не толькі асноўную. Захаваныя ўласцівасці — гэта ўваходныя даныя, а ўсталяваныя табліцы — вынік.

ip -4 rule show
ip -4 route show table all

Два прызначэнні, адно параўнанне

Выберыце адно прыватнае прызначэнне, якое працуе, і адно звычайнае публічнае, затым спытайце ў ядра, які шлях возьме кожнае. Менавіта выкананне гэтага на абедзвюх машынах ператварае расплывістую розніцу ў канкрэтную.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Адрасы — гэта прыклады, якія трэба замяніць сваімі; сэнс у пары, а не ў лічбах. Параўнайце інтэрфейс, адрас крыніцы і табліцу, названую ў кожным вывадзе. Калі прыватны пошук называе тунель і публічны пошук таксама называе тунель, у вас поўны тунель, а ў іншага кліента можа быць раздзелены, або наадварот.

Не патрабуйце, каб два кліенты друкавалі аднолькавы тэкст. У OpenVPN redirect-gateway def1 звычайна выражаецца двума маршрутамі паўпрэфікса замест аднаго маршруту па змаўчанні, і менеджэр, які паказвае іх інакш, не робіцца ад гэтага няправільным. Ацэньвайце пакрыццё, якое паказваюць пошукі, а не фарматаванне.

Дзе два кліенты законна адрозніваюцца

Значэнні па змаўчанні кліента — гэта палітычныя выбары, і ім дазволена не супадаць. Адзін прадукт можа аддаваць перавагу поўнаму тунелю, другі можа пакінуць лакальнае значэнне па змаўчанні і маршрутызаваць толькі прыватныя прэфіксы, а трэці можа ісці за тым, што праштурхнуў сервер. Розніца — гэта дэфект толькі тады, калі яна супярэчыць патрабаванню, якое вам далі.

Таму параўноўвайце кожны кліент з зацверджаным намерам раздзеленага або поўнага тунелю, а не адзін з адным. Калі патрабаванне такое, што прыватны трафік ідзе праз тунель, а лакальны інтэрнэт-шлях застаецца лакальным, то поўны тунель — гэта памылка, а раздзелены тунель правільны, незалежна ад таго, які кліент што зрабіў. Запішыце намер перад тым, як глядзець на любую канфігурацыю, інакш першы кліент, які вы праверыце, ціха стане стандартам.

DNS — другая вось, і яна адмаўляе незалежна. Правільны маршрут усё яшчэ можа адпраўляць запыты да рэзалвера, які не можа адказаць за прыватную зону, а правільны рэзалвер не выпраўляе няправільны маршрут. Праверце абодва і лічыце прыватнае імя, якое вырашаецца, тады як прыватны адрас не вырашаецца, доказам таго, што два ўзроўні вырашаюцца асобна.

Трымайце параўнанне чыстым

Запускайце аднаго ўладальніка злучэння за раз. Сеанс OpenVPN з каманднага радка, які працуе побач з імпартаваным профілем, усталёўвае свае маршруты і свой стан рэзалвера, і выніковая сумесь не з'яўляецца паводзінамі ні аднаго з кліентаў. Спыніце адзін, перш чым вымяраць другі. Перазагрузіцеся, калі не ўпэўненыя, што яшчэ трымае стан, бо састарэлы маршрут гадзіннай даўніны будзе выглядаць дакладна як праблема палітыкі.

Трымайце ўсё астатняе нязменным: той жа канчатковы пункт, той жа ўліковы запіс, тыя ж версіі праграм, тая ж сетка. Поспех на наўтбуку калегі з Windows правярае іншы кліент, іншую інтэграцыю рэзалвера і магчыма іншы профіль сервера, таму гэта не доказ пра менеджэр Ubuntu.

Даведка па наладах IPv4 у NetworkManager дакладна вызначае never-default і захаваныя ўласцівасці маршрутаў, і яе варта прачытаць, перш чым змяняць кіраванае значэнне. І памятайце пра межы гэтага параўнання: яно ахоплівае IPv4 і нічога не кажа пра адпаведную палітыку IPv6, якая мае свае значэнні па змаўчанні і свой спосаб здзіўляць.