Адсутны маршрут VPN у NetworkManager: палітыка профілю ці скрыпт?

Вы падключаецеся, з’яўляецца інтэрфейс тунэлю, і аднаго прэфікса, які вам патрэбны, проста няма ў табліцы. Наступны крок звычайна — пошук скрыпта, які дадае яго. Гэты пошук прыводзіць да адказаў, якія ўстаўляюць дапаможнік OpenVPN у профіль, і палова такіх адказаў робіць сітуацыю горш, а не лепш, бо ў адсутнага маршруту ёсць тры магчымыя ўладальнікі, і толькі адзін з іх — адсутны скрыпт.

Вызначце, які ўладальнік адказны, перш чым нешта пісаць.

Тры ўладальнікі, адзін адсутны прэфікс

Прэфікс можа быць адсутным, бо ніхто яго не падаў, бо профіль яго адхіліў, або бо ён быў усталяваны недзе, дзе вы не глядзіце. Гэта розныя няспраўнасці, і ў іх розныя выпраўленні.

Першую праверыць прасцей за ўсё: ці прапаноўваў сервер або плагін гэты маршрут наогул? Бэкэнд, які ніколі не атрымаў прэфікс, не можа яго ўсталяваць, а дапаможны скрыпт не можа выдумаць дасяжнасць, якую партнёр ніколі не апісваў. Другая — гэта палітыка профілю, якая можа падаўляць маршруты, якія злучэнне інакш прыняло б. Трэцяя — табліца або правіла, якое можа трымаць маршрут там, куды прадвызначаны пошук ніколі не звяртаецца.

Чацвёрты ўладальнік — гэта вы, пазней: скрыпт, які дадае маршрут пры падключэнні, але не выдаляе яго пры адключэнні. Гэта стварае прэфікс, які перажывае тунэль, паказвае на мёртвы інтэрфейс і заблытвае наступнага чалавека, які будзе адладжваць машыну.

Прачытайце профіль, перш чым нешта дадаваць

Пачніце з уласных уласцівасцяў захаванага злучэння. Чытайце іх, не выліваючы сакрэты, і выкарыстоўвайце UUID, калі назва профілю неадназначная.

nmcli -f vpn.service-type,ipv4.never-default,ipv4.ignore-auto-routes,ipv4.route-table,ipv4.routes connection show office

vpn.service-type паказвае вам, які бэкэнд валодае злучэннем, і гэта важна, бо даныя плагіна спецыфічныя для бэкэнда. Ключ, прыняты адным плагінам, не з’яўляецца падтрыманай інструкцыяй для іншага, таму фрагмент, скапіяваны з дакументацыі іншага кліента, не з’яўляецца доказам чаго-небудзь.

ipv4.ignore-auto-routes і ipv4.never-default адказваюць на розныя пытанні. Першы можа адхіляць маршруты, якія злучэнне інакш прыняло б аўтаматычна, а другі кіруе тым, ці можа профіль стаць прадвызначаным маршрутам. Профіль, які ігнаруе аўтаматычныя маршруты і не спадзяецца ні на што іншае, падключыцца чыста і не ўсталюе амаль нічога.

ip -4 rule show
ip -4 route show table all

Гэтыя дзве каманды вырашаюць трэцюю магчымасць. Шукайце свой прэфікс у кожнай табліцы, не толькі ў main, і праверце, ці правіла палітыкі накіроўвае адпаведны пошук у іншае месца. Калі прэфікс прысутнічае ў іншай табліцы і нішто да яго не звяртаецца, у вас не адсутны маршрут; у вас пошук, які ніколі да яго не даходзіць.

Што скрыпт не можа выправіць

Даданне дапаможнага скрыпта дае vpn.data NetworkManager праграму для запуску. Гэта рэальны механізм, і гэта няправільны механізм для большасці такіх выпадкаў, бо скрыпт атрымлівае кіраванне пасля таго, як уласная палітыка профілю ўжо вырашыла, што прымаць.

script-security OpenVPN — іншая паўторная блытаніна. Гэта налада OpenVPN, якая вызначае, якія скрыпты кліент можа выконваць і што ён можа змясціць у іх асяроддзе; узровень 3 дазваляе перадаваць уліковыя даныя праз асяроддзе, што з’яўляецца рашэннем пра абыходжанне з сакрэтамі, а не выпраўленнем маршруту. Устаўка яе ў профіль, чый бэкэнд не OpenVPN, або павышэнне, калі ніводнаму скрыпту гэта не патрэбна, дадае ўздзеянне, не дадаючы маршруту.

Затым ёсць рэфлекс перазапуску. Перазапуск службы NetworkManager разбірае і перабудоўвае кожную кіраваную сувязь, уключаючы тую, праз якую вы падключаны, калі працуеце аддалена. Гэта разбуральнае дзеянне, а не бясшкодная дыягностыка, і на серверы яно можа быць розніцай паміж сеансам, які выжывае, і тым, які не.

Рашэнне, па парадку

Задайце тры пытанні паслядоўна. Ці падаў партнёр прэфікс, што пакажа журнал бэкэнда або яго ўласная выдача стану? Калі так, ці наладжаны профіль прымаць і ўсталёўваць маршруты, ці ён іх падаўляе? Калі маршрут дзесьці існуе, ці правільны шлях пошуку для трафіку, які вы тэстуеце?

Толькі калі першы адказ так, другі так і трэці правільны, дадатковы скрыпт становіцца апраўданым, і нават тады варта спытаць, ці бэкэнд падтрымлівае маршрут натыўна. Даведнік па наладах VPN дакументуе service-type і слоўнік даных, спецыфічны для плагіна, і менавіта з гэтага трэба пачынаць, перш чым меркаваць, што ключ існуе.

Пасля зацверджанага выпраўлення падключыцеся зноў і праверце прызначэнне спачатку па адрасе, а потым па імені, затым адключыцеся і падключыцеся яшчэ раз, каб пацвердзіць, што стан паўтаральны. Адзін уладальнік, адна табліца і маршрут, які знікае разам з тунэлем, — гэта вынік, які варта мець.