Nedostajuća VPN ruta u NetworkManageru: politika profila ili skripta?

Povežete se, tunelsko sučelje se pojavi, a jedan prefiks koji vam treba jednostavno nije u tablici. Sljedeći korak obično je potraga za skriptom koja ga dodaje. Ta potraga vodi do odgovora koji u profil zalijepe OpenVPN pomoćnika, a polovina tih odgovora stanje pogorša umjesto da ga poboljša, jer nedostajuća ruta ima tri moguća vlasnika i samo je jedan od njih nedostajuća skripta.

Odlučite koji je vlasnik odgovoran prije nego što išta napišete.

Tri vlasnika, jedan nedostajući prefiks

Prefiks može izostati jer ga nitko nije dostavio, jer ga je profil odbio ili jer je instaliran negdje gdje ne gledate. To su različite greške i imaju različite popravke.

Prvo je najlakše provjeriti: je li poslužitelj ili dodatak ikada ponudio rutu? Pozadinski sustav koji nikada nije primio prefiks ne može ga instalirati, a pomoćna skripta ne može izmisliti dostupnost koju druga strana nikada nije opisala. Drugo je politika profila, koja može potisnuti rute koje bi veza inače preuzela. Treće je tablica ili pravilo, koje može držati rutu na mjestu koje zadano pretraživanje nikada ne konzultira.

Četvrti vlasnik ste vi, kasnije: skripta koja dodaje rutu pri povezivanju, ali je ne uklanja pri odspajanju. To stvara prefiks koji nadživi tunel, pokazuje na mrtvo sučelje i zbunjuje sljedeću osobu koja bude otklanjala pogreške na stroju.

Pročitajte profil prije nego što išta dodate

Počnite sa svojstvima spremljene veze. Čitajte ih bez izlijevanja tajni i upotrijebite UUID ako je naziv profila dvosmislen.

nmcli -f vpn.service-type,ipv4.never-default,ipv4.ignore-auto-routes,ipv4.route-table,ipv4.routes connection show office

vpn.service-type vam kaže koji pozadinski sustav posjeduje vezu, i to je važno jer su podaci dodatka specifični za pozadinski sustav. Ključ koji prihvaća jedan dodatak nije podržana uputa za drugi, pa isječak kopiran iz dokumentacije drugog klijenta nije dokaz ničega.

ipv4.ignore-auto-routes i ipv4.never-default odgovaraju na različita pitanja. Prvi može odbiti rute koje bi veza inače automatski preuzela, a drugi kontrolira može li profil postati zadana ruta. Profil koji zanemaruje automatske rute i ne oslanja se ni na što drugo povezat će se čisto i instalirati gotovo ništa.

ip -4 rule show
ip -4 route show table all

Te dvije naredbe rješavaju treću mogućnost. Tražite svoj prefiks u svakoj tablici, ne samo u main, i provjerite šalje li pravilo politike relevantno pretraživanje negdje drugdje. Ako je prefiks prisutan u drugoj tablici i ništa ga ne konzultira, nemate nedostajuću rutu; imate pretraživanje koje do nje nikada ne stigne.

Što skripta ne može popraviti

Dodavanje pomoćne skripte daje vpn.data u NetworkManageru program koji će se izvršavati. To je stvaran mehanizam i pogrešan je za većinu ovih slučajeva, jer skripta dobiva kontrolu nakon što je politika profila već odlučila što prihvatiti.

OpenVPN-ov script-security je druga ponavljajuća zabuna. To je OpenVPN postavka koja određuje koje skripte klijent smije izvršavati i što smije staviti u njihovo okruženje; razina 3 dopušta prosljeđivanje vjerodajnica kroz okruženje, što je odluka o rukovanju tajnama, a ne popravak usmjeravanja. Lijepljenje u profil čiji pozadinski sustav nije OpenVPN ili podizanje kada nijednoj skripti ne treba dodaje izloženost bez dodavanja rute.

Zatim tu je refleks restarta. Ponovno pokretanje usluge NetworkManager ruši i ponovno gradi svaku upravljanu vezu, uključujući onu kroz koju ste povezani ako radite daljinski. To je ometajuća radnja, a ne bezazlena dijagnostika, i na poslužitelju može biti razlika između sesije koja preživi i one koja ne.

Odluka, po redu

Postavite tri pitanja uzastopno. Je li druga strana dostavila prefiks, što će pokazati zapisnik pozadinskog sustava ili njegov vlastiti izlaz statusa? Ako da, je li profil konfiguriran da prihvaća i instalira rute ili ih potiskuje? Ako ruta negdje postoji, je li put pretraživanja ispravan za promet koji testirate?

Tek kada je prvi odgovor da, drugi da i treći ispravan, dopunska skripta postaje obranjiva, i čak i tada trebate pitati podržava li pozadinski sustav rutu izvorno. Referenca za VPN postavke dokumentira service-type i rječnik podataka specifičan za dodatak, i tu treba početi prije nego što pretpostavite da ključ postoji.

Nakon odobrene ispravke ponovno se povežite i testirajte odredište po adresi, a zatim po nazivu, pa se odspojite i ponovno povežite da potvrdite da je stanje ponovljivo. Jedan vlasnik, jedna tablica i ruta koja nestaje s tunelom ishod je koji vrijedi imati.