Importované VPN trasy se liší od fungujícího klienta? Porovnejte oba

Některé privátní služby odpovídají přes VPN, zatímco běžný internetový provoz se chová úplně jinak než na kolegově stroji, a člověk má chuť uzavřít, že klient Ubuntu je rozbitý. Ten závěr přeskakuje jeden krok. Fungující privátní operace a odlišná veřejná cesta jsou dvě pozorování a rozdíl obvykle vězí v dopravní politice, kterou každý klient nainstaloval, ne v klientu samotném.

Porovnání uložené konfigurace se skutečným stavem sítě zabere tři příkazy a odpovídá na otázku, kterou se hádání snažilo zodpovědět.

Nejprve uložený profil, potom skutečný stav

Importované připojení OpenVPN se stane vlastním profilem NetworkManageru. Soubor .ovpn, ze kterého vzniklo, přestává být zdrojem pravdy v okamžiku dokončení importu, takže pozdější úprava tohoto souboru nic nemění na připojení, které používáte. Toto je první místo, kde se porovnání pokazí, a pokazí se tiše.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Když se názvy kryjí, čtěte UUID; duplicitní názvy přežijí přeinstalace i obnovy profilů a můžete strávit hodinu úpravou kopie, která se nepoužívá. Hodnoty, které vidíte, popisují uložený záměr: zda profil smí převzít výchozí trasu, které trasy byly uloženy a které překladače a vyhledávací domény si vyžádá. Nepopisují, co se stalo při aktivaci připojení, protože plugin nebo tlak ze serveru mohou přidat stav, který profil nezmiňuje. Proto je následující příkaz důležitý.

Pak se podívejte, co systém s tímto záměrem skutečně udělal, včetně pravidel politiky a všech tabulek, nejen hlavní. Uložené vlastnosti jsou vstup a nainstalované tabulky jsou výsledek.

ip -4 rule show
ip -4 route show table all

Dva cíle, jedno porovnání

Vyberte jeden fungující privátní cíl a jeden běžný veřejný cíl a zeptejte se jádra, kterou cestu by každý z nich vzal. Právě provedení na obou strojích mění mlhavý rozdíl na konkrétní.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Adresy jsou příklady k nahrazení vašimi; jde o dvojici, ne o čísla. Porovnejte rozhraní, zdrojovou adresu a tabulku uvedenou v každém výstupu. Když privátní hledání jmenuje tunel a veřejné hledání také jmenuje tunel, máte plný tunel a druhý klient může mít dělený, nebo naopak.

Nevyžadujte, aby oba klienti tiskli stejný text. V OpenVPN se redirect-gateway def1 obvykle vyjadřuje dvěma trasami s polovičním prefixem místo jedné výchozí a správce, který je zobrazuje jinak, tím není špatný. Posuzujte pokrytí, které hledání ukazují, ne formátování.

Kde se oba klienti oprávněně liší

Výchozí hodnoty klienta jsou politická rozhodnutí a smějí se rozcházet. Jeden produkt může dávat přednost plnému tunelu, jiný si ponechá místní výchozí hodnotu a směruje jen privátní prefixy a třetí může následovat to, co poslal server. Rozdíl je vadou jen tehdy, když odporuje požadavku, který jste dostali.

Proto porovnávejte každého klienta se schváleným záměrem děleného nebo plného tunelu, ne jednoho s druhým. Pokud je požadavek takový, že privátní provoz používá tunel a místní internetová cesta zůstává místní, pak je plný tunel chyba a dělený tunel je správný, bez ohledu na to, který klient co udělal. Zapište záměr dřív, než se podíváte na kteroukoli konfiguraci, jinak se první klient, který prozkoumáte, tiše stane standardem.

DNS je druhá osa a selhává nezávisle. Správná trasa může stále posílat dotazy překladači, který neumí odpovědět pro privátní zónu, a správný překladač neopraví špatnou trasu. Zkontrolujte obojí a berte privátní jméno, které se přeloží, zatímco privátní adresa ne, jako důkaz, že se obě vrstvy řeší odděleně.

Udržte porovnání čisté

Spouštějte jednoho vlastníka připojení najednou. Relace OpenVPN z příkazové řádky běžící vedle importovaného profilu instaluje své vlastní trasy a svůj vlastní stav překladače a vzniklá směs není chováním ani jednoho z klientů. Než budete měřit druhého, jeden ukončete. Pokud si nejste jisti, co ještě drží stav, restartujte, protože zastaralá trasa z před hodiny bude vypadat přesně jako problém s politikou.

Držte pevně i všechno ostatní: stejný koncový bod, stejný účet, stejné verze softwaru, stejnou síť. Úspěch na kolegově notebooku s Windows testuje jiného klienta, jinou integraci překladače a možná jiný profil serveru, takže to není důkaz o správci Ubuntu.

Referenční dokumentace nastavení IPv4 v NetworkManageru přesně definuje never-default a uložené vlastnosti tras, což stojí za přečtení, než změníte spravovanou hodnotu. A pamatujte na rozsah tohoto porovnání: pokrývá IPv4 a nic neříká o odpovídající politice IPv6, která má své vlastní výchozí hodnoty a svůj vlastní způsob, jak vás překvapit.