OpenVPN continua empenyent rutes antigues? Comproveu què ha carregat

Afegiu una ruta, reinicieu el servei, torneu a connectar-vos i la taula del client queda exactament com abans. Poden ser certes dues coses diferents: que el servidor no hagi carregat mai la vostra modificació o que el client no hagi instal·lat mai el que ha rebut. No tenen res en comú tret del símptoma, així que el primer pas és esbrinar quin dels dos casos teniu.

La comparació de sota va del procés cap enfora, perquè el procés és l'única autoritat sobre quin fitxer està en vigor.

El fitxer que heu editat i el fitxer que llegeix el procés

Comenceu per la unit i la línia d'ordres que ha produït. En un amfitrió amb systemd, systemctl cat openvpn@server imprimeix la línia ExecStart, i una unit d'instància normalment dedueix la ruta de configuració del nom de la instància, així que un dimoni iniciat com a openvpn@office llegeix un fitxer diferent del que s'inicia com a openvpn@server. Compareu-ho amb l'argv del procés en marxa. Una eina de gestió de configuració afegeix una altra manera de perdre el canvi: pot escriure un fitxer correcte en un lloc que la unit no esmenta mai, i llavors un desplegament verd sembla que no ha fet res.

Les marques de temps ho resolen de pressa: si el fitxer és més nou que l'hora d'inici del procés, el procés no l'ha pogut llegir. El firmware del router afegeix un tercer cas, perquè molts models guarden la configuració a la memòria flaix i la reconstrueixen durant l'arrencada, cosa que fa que editar un fitxer al disc sigui del tot la capa equivocada.

Què empeny el servidor i què instal·la el client

Una ruta empenyuda ha de superar dos filtres. Al servidor ha d'estar a la configuració carregada, no en un bloc comentat ni en un fitxer específic de client el nom del qual no coincideixi. Al client, pull ha d'estar activat i cap pull-filter no pot estar descartant l'opció. Connecteu-vos amb verbosity 4 i llegiu les opcions empenyudes que informa el client: si la ruta surt en aquesta llista, el servidor ha fet la seva feina i és el client qui tria no instal·lar-la.

Els fitxers específics de client són una font freqüent de confusió. Un fitxer anomenat segons el common name del certificat empeny opcions només a aquell client, i una diferència d'un caràcter atura l'enviament en silenci, sense cap error a cap dels dos costats. El servidor registra el common name que va veure en connectar-se, així que compareu aquest valor amb el nom del fitxer, no amb el que creieu que es diu el client.

El prefix empenyut i la ruta de tornada són problemes diferents

Un client que ignora deliberadament redirect-gateway per conservar la seva ruta local a internet crea una segona llacuna, no relacionada. Les sondes del servidor arriben a l'adreça del túnel i les respostes no arriben mai, perquè una resposta adreçada a la IP del túnel del servidor es routa per la passarel·la per defecte normal del client. La ruta de subxarxa empenyuda no en té la culpa aquí; el que falta és una ruta que torni el trànsit de la xarxa del túnel del servidor cap al dispositiu de túnel.

Afegir aquesta ruta al client arregla les respostes a les sondes que origina el servidor. No substitueix la ruta de subxarxa empenyuda, i el contrari també és cert, perquè les dues descriuen direccions oposades de viatge.

Compareu les taules als dos extrems

Després de qualsevol canvi, torneu a connectar-vos i llegiu la taula del client per al prefix empenyut i per al dispositiu de túnel. Després proveu en totes dues direccions: del client a un amfitrió de la subxarxa empenyuda, i d'aquest amfitrió de tornada al client. Una ruta que existeix però no transporta trànsit vol dir una de tres coses: l'altre costat no reenvia, un tallafoc està descartant el flux, o la resposta no té camí de tornada.

Manteniu tres identificadors junts: la ruta de configuració, el nom de la unit o de la instància i la identitat del client amb què heu provat.

Aquests tres converteixen la propera ocurrència en una comprovació de cinc minuts en lloc d'una investigació repetida, i són el que necessita un company quan el túnel passa a ser problema d'una altra persona.

Un problema de rutes que sobreviu a un reinici sovint no és cap problema d'encaminament; la fallada és més amunt de la taula que no pareu de llegir.