Proč samotný route-nopull nechá souborový server nedostupný
Ignorovat vnucené trasy je jen polovina rozděleného tunelu. Zvolte vlastníka tras, přidejte kancelářský prefix ručně a otestujte tři toky, než to prohlásíte za opravené.
Souborový server se otevírá v pořádku a videohovor v sousedním okně začíná škubat. Nic není pomalé a MTU není špatně: váš klient převzal seznam tras, který mu server předal, takže každý paket nyní vychází přes kancelářský firewall. Oprava není další ladicí přepínač, ale rozhodnutí o tom, komu patří směrovací tabulka klienta. To rozhodnutí patří na jedno místo a režimy selhání níže vám řeknou, které místo jste skutečně zvolili.
Rozhodněte, komu patří směrovací tabulka
Možní jsou tři vlastníci. Server může vnucovat trasy a výchozí bránu, a pak klient nainstaluje, co se mu řekne, a stane se plným tunelem. Klientský profil může převzít vlastnictví tím, že vnucené hodnoty zahodí a ponese vlastní řádky tras. Správce připojení na ploše může rozhodnutí vlastnit také prostřednictvím svých vlastností trasy a výchozí trasy.
Každá volba selhává jinak, a proto se vyplatí tabulku přečíst, než upravíte profil. Řádek, který odpovídá vašemu symptomu, je vlastník, kterého skutečně máte.
| Owner | Where it lives | Result |
|---|---|---|
| Server | server config, redirect-gateway, pushed routes | client becomes a full tunnel |
| Profile | route-nopull and its own route lines | tunnel up, office prefix missing |
| Manager | never-default plus its own routes | desktop decides, profile ignored |
Vyberte jeden a zapište ho. Smíchání dvou nechá hostitele, jehož výchozí cesta odporuje vlastní dokumentaci, a další inženýr nemůže poznat, která vrstva vyhrála. Poraženého výslovně smažte.
route-nopull filtruje vnucené hodnoty, nepřidává trasy
route-nopull patří do klientského profilu a jeho pořadí v tomto souboru je nepodstatné, protože pouze zahazuje hodnoty přicházející ze serveru. Zahazuje vnucené trasy, včetně vnucené výchozí trasy, zatímco tunel stále normálně nabíhá.
Důsledek, který lidé přehlížejí, je, že vnucené volby DHCP jdou s nimi. Nastavení DNS odeslaná serverem se také zahazují, takže interní jména přestanou být překládána, i když je tunel zdravý a server je dostupný na adrese.
Tím zůstane tunel bez cesty ke kancelářskému prefixu, pokud ji nepřidáte sami: route-nopull následovaný route 10.30.0.0 255.255.0.0 ve stejném profilu. Tento řádek nese adresu a masku; nepojmenovává další hop.
Alternativní forma přidává token brány, route 10.30.0.0 255.255.0.0 vpn_gateway, který směruje záznam na tunel podle jména. Importéry se liší v tom, zda tento variant přeloží, takže pokud záznam v tabulce jádra chybí, prohlédněte uložené připojení.
Ověřujte vyhledáním tras, ne pingem
Ping vám říká, že něco odpovědělo. Vyhledání trasy říká, kterou rozhraní by jádro zvolilo, a to je otázka, kterou jste skutečně položili. Čtyři krátké příkazy oddělí chybějící trasu od trasy ukazující na špatné zařízení.
Přečtěte, co tunel nainstaloval, pomocí ip route show dev tun0. Úplná absence výstupu znamená nula tras, což není fungující rozdělený tunel, a je to obvyklý výsledek přidání filtru bez explicitního řádku.
Poté zkontrolujte jednu kancelářskou adresu pomocí ip route get 10.30.5.7 a jednu běžnou internetovou adresu pomocí ip route get 1.1.1.1. Druhá by měla pojmenovat fyzické rozhraní; pokud pojmenuje tunel, vnucení nebylo vůbec filtrováno.
Nakonec přečtěte ip rule, protože pravidlo zásad ponechané dřívějším pokusem může přebít tabulku, kterou jste právě opravili. Správný profil se zastaralým pravidlem navrchu vypadá přesně jako rozbitý profil. Smažte pravidlo, které jste přidali minule, než přidáte další.
Překrývající se podsítě vypadají jako rozbitý tunel
Dva privátní rozsahy mohou být z pohledu klienta totožné, a právě tam je rozdělený tunel obviňován z něčeho, co nezpůsobil. Pokud kancelář přiděluje stejný prefix jako váš domácí router, trasa tunelu pokrývá router a domácí síť vypadá, že zmizela.
Porovnejte adresu na svém vlastním rozhraní s trasou, kterou profil instaluje, pomocí obyčejného výpisu adres, než cokoli změníte. Překryv je skutečný a žádná volba profilu ho neřeší. Co můžete opravit, je pojmenování, aby další člověk viděl dva rozsahy místo jednoho.
Poctivé opravy jsou přečíslovat jednu stranu nebo překládat adresy v kanceláři. Přišpendlení jediné trasy hostitele k routeru funguje, dokud se adresa routeru nezmění, a pak se z toho stane druhá záhada navrch první.
Ať rozhodnutí přežije opětovné připojení
Záznamy zadané ručně nepřežijí opětovné připojení a správce připojení přestaví tabulku při každém spuštění profilu. Umístěte rozhodnutí tam, kde se připojení vytváří, ať už je to profil nebo uložená nastavení správce. Potom jednou záměrně restartujte připojení, místo abyste chování objevili během hovoru. Profil, který funguje jen do příštího opětovného připojení, není hotový.
Procvičte tři cesty najednou: kancelářského hostitele podle doslovné adresy, stejného hostitele podle jména a běžný veřejný web. Prostřední závisí na službě jmen, kterou jste nastavili po zahození vnucených voleb DNS, a právě ta tiše selhává.