VPN se preselio: zašto vaš OpenVPN klijent još uvijek zove staru IP adresu

Pružatelj je promijenio vašu javnu adresu, ažurirali ste dinamički DNS zapis, a klijent se još uvijek ne može povezati. Izvana izgleda kao da se zapis nije proširio. Najčešće je zapis u redu, a klijent zove adresu koju je razriješio prije preseljenja, jer aktivni tunel i spremljeni profil svaki ima svoju predodžbu o tome gdje server živi. Tri sloja moraju se složiti, a ažuriraju se po različitim rasporedima.

Gledajte što profil zove, a ne što DNS kaže

Otvorite vezu koju stvarno koristite i pročitajte remote redak. Brojčana adresa ondje nikada ne slijedi ažuriranje imena hosta, koliko god zapis postane točan.

Zatim provjerite je li profil koji ste uredili onaj koji je klijent učitao. Uvezeni profili su uobičajeni: upravitelj je možda prije mjeseci uzeo kopiju i zadržao vlastitu verziju, pa se datoteka u vašoj mapi za preuzimanje i unos u aplikaciji mogu razlikovati. Usporedite završnu točku u klijentovim vlastitim pojedinostima veze prije nego što uopće budete otklanjali DNS.

Dvije datoteke, jedna završna točka — ovdje je to uobičajen nalaz.

grep -nE '^remote|^resolv-retry|^persist-remote-ip|^float' client.ovpn
printf 'resolver says: '; dig +short vpn.example.net

Pročitajte klijentov sljedeći pokušaj povezivanja

Ponovno pokrenite vezu s opširnim zapisivanjem i pročitajte redak u kojem se navodi adresa s kojom će komunicirati. Ta je vrijednost važna, a ne ono što je vaš preglednik razriješio.

Predmemorija resolvera može još držati prethodni odgovor, a neke mreže ga drže dulje nego što TTL zapisa traži. Pitajte resolver koji klijent stvarno koristi, a ne javni koji ste testirali odnekud drugdje.

Ako zapisnik pokazuje novu adresu, a veza se još ne uspostavlja, problem se premjestio: paket ide negdje i nitko ne odgovara. To je pitanje slušatelja, vatrozida ili prosljeđivanja porta i nalazi se na strani servera, a ne na klijentovu putu razrješavanja. Držite ta dva kvara odvojeno, jer tretiranje nedostupnog slušatelja kao DNS problema vodi vas dvaput kroz istu petlju.

Znajte koje ponovno pokretanje radite

Neka ponovna pokretanja ne čuvaju isto stanje, zato se promjena adrese može ponašati drukčije ovisno o tome kako se proces reciklira. Mekano ponovno pokretanje pokrenuto signalom čuva više konteksta prethodne sesije, dok potpuno zaustavljanje i pokretanje ponovno počinje od konfiguracije. Ako testirate razrješava li klijent ponovno, želite put koji počinje od konfiguracije.

Postavke postojanosti također su važne jer su namijenjene čuvanju onoga što je autentificirano, a ne jurenju za novim adresama.

Najčišći test je svjež početak iz predviđenog profila, nakon čega slijedi pogled na redak zapisnika koji imenuje završnu točku. Sve što naučite iz djelomično sačuvane sesije izjava je o toj sesiji.

Četiri mogućnosti i njihovi odvojeni poslovi

remote s imenom hosta postavka je koja ponovno razrješavanje uopće čini mogućim; doslovna adresa u tom retku to isključuje. resolv-retry kontrolira što se događa kad pretraga ne uspije, a 2.6 ga već po zadanim postavkama postavlja na beskonačno. Dodavanje ga stoga ne mijenja ništa i on nikada ne zakazuje periodičnu provjeru drukčijeg odgovora. Tko kaže da on anketira nove adrese, pomiješao je oporavak sa svježinom.

persist-remote-ip odnosi se na neprekinutost, a ne na svježinu: ponovno upotrebljava završnu točku koja se posljednja autentificirala, kroz mekana ponovna pokretanja koja podržava. Dok testirate preseljenje, to je suprotno od onoga što želite. Onemogućite ga za test ako ga vaša gradnja omogućuje, pa ga vratite kad se nova završna točka dokaže. Ostane li uključen, uspješno ponovno povezivanje možda vam neće reći ništa o DNS-u.

float prihvaća autentificiranog partnera čija se adresa promijenila usred sesije i to samo u postavkama koje to podržavaju. On ne osvježava DNS i neće sam slijediti promjenu pružatelja. Tretirajte ga kao značajku otpornosti za partnere koji lutaju, a ne kao mehanizam dinamičkih adresa za servere.

Potvrdite novu završnu točku prije nego okrivite klijent

Izvan svoje mreže provjerite ima li nova adresa slušatelja na konfiguriranom portu i pokazuje li pružateljevo prosljeđivanje na nju. Točan A zapis za stroj bez otvorenog porta proizvodi upravo simptom koji ljudi pripisuju predmemoriji.

Zatim se ponovno povežite i provjerite dvije stvari: klijent se autentificirao prema očekivanom serverovu certifikatu i sesija dolazi do resursa koji ste namjeravali. Promjena adrese ne snižava zahtjeve za identitetom, a veza koja uspije prema pogrešnoj završnoj točki gora je od one koja ne uspije. Priručnik OpenVPN 2.6 navodi sve četiri mogućnosti s vlastitim dosegom i to je popis za provjeru koji treba držati uz profil.

Prije nego ponovno pokrenete tunel koji nosi vaš administrativni pristup, osigurajte izvanpojasni put do servera. Ta jedna mjera opreza sprječava većinu incidenata koje ovaj scenarij proizvodi.