Uvezeni VPN rute se razlikuju od klijenta koji radi? Uporedite oboje

Neke privatne usluge odgovaraju kroz VPN, dok se običan internet saobraćaj ponaša sasvim drugačije nego na koleginoj mašini, pa se nameće zaključak da je Ubuntu klijent pokvaren. Taj zaključak preskače jedan korak. Ispravna privatna operacija i drugačija javna putanja su dva zapažanja, a razlika obično leži u saobraćajnoj politici koju je svaki klijent instalirao, a ne u samom klijentu.

Poređenje sačuvane konfiguracije sa stvarnim stanjem mreže traje tri komande i odgovara na pitanje na koje je nagađanje pokušavalo da odgovori.

Prvo sačuvani profil, pa stvarno stanje

Uvezena OpenVPN veza postaje zaseban NetworkManager profil. Datoteka .ovpn iz koje je došla prestaje biti izvor istine u trenutku kada se uvoz završi, pa naknadno uređivanje te datoteke ništa ne mijenja na vezi koju koristite. Ovo je prvo mjesto gdje poređenje ode naopako, i ode naopako tiho.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Pročitajte UUID kada se imena poklope; duplirana imena prežive reinstalacije i vraćanja profila, a možete potrošiti sat uređujući kopiju koja se ne koristi. Vrijednosti koje vidite opisuju sačuvanu namjeru: smije li profil uzeti zadanu rutu, koje su rute sačuvane i koje rezolver i domene pretrage traži. One ne opisuju šta se dogodilo kada se veza aktivirala, jer dodatak ili pritisak sa servera može dodati stanje koje profil ne spominje. Zato je sljedeća komanda važna.

Zatim pogledajte šta je sistem zaista uradio s tom namjerom, uključujući pravila politike i sve tabele, a ne samo glavnu. Sačuvana svojstva su ulaz, a instalirane tabele su rezultat.

ip -4 rule show
ip -4 route show table all

Dvije destinacije, jedno poređenje

Odaberite jednu privatnu destinaciju koja radi i jednu običnu javnu, pa pitajte jezgro koju bi putanju svaka uzela. Upravo to na obje mašine pretvara nejasnu razliku u konkretnu.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Adrese su primjeri koje zamjenjujete svojim; poenta je u paru, ne u brojevima. Uporedite interfejs, izvornu adresu i tabelu navedenu u svakom izlazu. Kada privatno traženje navede tunel i javno također navede tunel, imate puni tunel, a drugi klijent možda ima podijeljeni, ili obrnuto.

Ne zahtijevajte da dva klijenta ispišu identičan tekst. U OpenVPN-u se redirect-gateway def1 obično izražava kao dvije rute s pola prefiksa umjesto jedne zadane, a menadžer koji ih prikazuje drugačije nije zbog toga pogrešan. Procijenite pokrivenost, koju traženja pokazuju, a ne formatiranje.

Gdje se dva klijenta legitimno razlikuju

Zadane vrijednosti klijenta su politički izbori i smiju se razlikovati. Jedan proizvod može preferirati puni tunel, drugi može zadržati lokalnu zadanu vrijednost i usmjeravati samo privatne prefikse, a treći može slijediti ono što je server poslao. Razlika je nedostatak samo kada protivrječi zahtjevu koji ste dobili.

Zato uporedite svaki klijent s odobrenom namjerom podijeljenog ili punog tunela, a ne jedan s drugim. Ako je zahtjev da privatni saobraćaj koristi tunel, a lokalna internet putanja ostane lokalna, onda je puni tunel greška, a podijeljeni tunel ispravan, bez obzira na to koji je klijent šta uradio. Zapišite namjeru prije nego što pogledate bilo koju konfiguraciju, inače prvi klijent koji pregledate tiho postaje standard.

DNS je druga osa i pada nezavisno. Ispravna ruta ipak može slati upite rezolveru koji ne može odgovoriti za privatnu zonu, a ispravan rezolver ne popravlja pogrešnu rutu. Provjerite oboje i tretirajte privatno ime koje se razrješava dok se privatna adresa ne razrješava kao dokaz da se dva sloja rješavaju odvojeno.

Održite poređenje čistim

Pokrenite jednog vlasnika veze u jednom trenutku. OpenVPN sesija iz komandne linije koja radi pored uvezenog profila instalira svoje rute i svoje stanje rezolvera, a dobijena mješavina nije ponašanje nijednog od dva klijenta. Ugasite jednu prije nego što mjerite drugu. Ponovo podignite sistem ako niste sigurni šta još drži stanje, jer zastarjela ruta od prije sat vremena izgledat će tačno kao problem s politikom.

Držite i sve ostalo fiksno: isti endpoint, isti račun, iste verzije softvera, ista mreža. Uspjeh na koleginom Windows laptopu testira drugi klijent, drugu integraciju rezolvera i vjerovatno drugi serverski profil, pa nije dokaz o Ubuntu menadžeru.

NetworkManagerova referenca za IPv4 postavke precizno definira never-default i sačuvana svojstva ruta, što vrijedi pročitati prije nego što promijenite upravljanu vrijednost. I zapamtite obim ovog poređenja: pokriva IPv4 i ne govori ništa o odgovarajućoj politici IPv6, koja ima svoje zadane vrijednosti i svoj način da vas iznenadi.