Llwybr VPN ar goll yn NetworkManager: polisi proffil neu sgript?

Rydych chi'n cysylltu, mae rhyngwyneb y tiwnel yn ymddangos, ac mae un rhagddodiad sydd ei angen arnoch yn syml ddim yn y tabl. Y cam nesaf fel arfer yw chwilio am sgript sy'n ei ychwanegu. Mae'r chwiliad hwnnw'n glanio ar atebion sy'n gludo ategwr OpenVPN i mewn i broffil, ac mae hanner yr atebion hynny'n gwneud y sefyllfa'n waeth yn hytrach na'n well, oherwydd mae gan lwybr ar goll dri pherchennog posibl a dim ond un ohonynt yw sgript ar goll.

Penderfynwch pa berchennog sy'n gyfrifol cyn i chi ysgrifennu unrhyw beth.

Tri pherchennog, un rhagddodiad ar goll

Gall y rhagddodiad fod yn absennol oherwydd na wnaeth neb ei ddarparu, oherwydd bod y proffil wedi ei wrthod, neu oherwydd iddo gael ei osod yn rhywle nad ydych chi'n edrych. Ffyltiau gwahanol yw'r rhain ac mae ganddynt atebion gwahanol.

Y cyntaf yw'r hawsaf i'w wirio: a wnaeth y gweinydd neu'r ategyn gynnig y llwybr erioed? Ni all backend na dderbyniodd y rhagddodiad erioed ei osod, ac ni all sgript ategol ddyfeisio cyrhaeddiad na wnaeth y cymar ei ddisgrifio erioed. Yr ail yw polisi proffil, a all atal llwybrau y byddai'r cysylltiad fel arall yn eu cymryd. Y trydydd yw tabl neu reol, a all ddal y llwybr mewn man nad yw'r chwiliad diofyn byth yn ymgynghori ag ef.

Y pedwerydd perchennog yw chi, yn ddiweddarach: sgript sy'n ychwanegu'r llwybr wrth gysylltu ond nad yw'n ei dynnu wrth ddatgysylltu. Mae hynny'n cynhyrchu rhagddodiad sy'n goroesi'r tiwnel, yn pwyntio at ryngwyneb marw, ac yn drysu'r person nesaf i ddadfygio'r peiriant.

Darllenwch y proffil cyn ychwanegu unrhyw beth

Dechreuwch ag eiddo'r cysylltiad a gadwyd. Darllenwch nhw heb ollwng cyfrinachau, a defnyddiwch yr UUID os yw enw'r proffil yn amwys.

nmcli -f vpn.service-type,ipv4.never-default,ipv4.ignore-auto-routes,ipv4.route-table,ipv4.routes connection show office

vpn.service-type sy'n dweud wrthych pa backend sy'n berchen ar y cysylltiad, ac mae hynny'n bwysig oherwydd bod data ategyn yn benodol i'r backend. Nid yw allwedd a dderbynnir gan un ategyn yn gyfarwyddyd a gefnogir ar gyfer un arall, felly nid yw darn a gopïwyd o ddogfennaeth cleient gwahanol yn dystiolaeth o unrhyw beth.

ipv4.ignore-auto-routes ac ipv4.never-default yn ateb cwestiynau gwahanol. Gall y cyntaf wrthod llwybrau y byddai'r cysylltiad fel arall yn eu cymryd yn awtomatig, ac mae'r ail yn rheoli a all y proffil ddod yn llwybr diofyn. Bydd proffil sy'n anwybyddu llwybrau awtomatig ac yn dibynnu ar ddim arall yn cysylltu'n lân ac yn gosod bron dim.

ip -4 rule show
ip -4 route show table all

Mae'r ddau orchymyn hynny'n setlo'r trydydd posibilrwydd. Chwiliwch am eich rhagddodiad ym mhob tabl, nid yn unig main, a gwiriwch a yw rheol polisi'n anfon y chwiliad perthnasol rywle arall. Os yw'r rhagddodiad yn bresennol mewn tabl arall ac nid oes unrhyw beth yn ymgynghori ag ef, nid oes gennych lwybr ar goll; mae gennych chwiliad na chyrhaeddodd ef erioed.

Yr hyn na all sgript ei drwsio

Mae ychwanegu sgript ategol yn rhoi rhaglen i vpn.data NetworkManager redeg. Mae'n fecanwaith go iawn, a dyma'r mecanwaith anghywir ar gyfer y rhan fwyaf o'r achosion hyn, oherwydd mae'r sgript yn cael rheolaeth ar ôl i bolisi'r proffil ei hun benderfynu'n barod beth i'w dderbyn.

script-security OpenVPN yw'r dryswch ailadroddus arall. Mae'n osodiad OpenVPN sy'n rheoli pa sgriptiau y caiff y cleient eu gweithredu a beth y caiff ei roi yn eu hamgylchedd; mae lefel 3 yn caniatáu pasio manylion mewngofnodi trwy'r amgylchedd, sy'n benderfyniad trin cyfrinachau yn hytrach na thrwsio llwybro. Mae ei gludo i broffil nad yw ei backend yn OpenVPN, neu ei godi pan nad oes angen sgript arno, yn ychwanegu amlygiad heb ychwanegu llwybr.

Yna mae'r redfa ailgychwyn. Mae ailgychwyn gwasanaeth NetworkManager yn chwalu ac yn ailadeiladu pob dolen a reolir, gan gynnwys yr un rydych chi'n cysylltu drwyddi os ydych chi'n gweithio o bell. Gweithred amharus yw hi, nid diagnosteg ddiniwed, ac ar weinydd gall fod y gwahaniaeth rhwng sesiwn sy'n goroesi a sesiwn nad yw'n.

Y penderfyniad, yn ei drefn

Gofynnwch dri chwestiwn yn olynol. A wnaeth y cymar ddarparu'r rhagddodiad, y bydd log y backend neu ei allbwn statws ei hun yn ei ddangos? Os do, a yw'r proffil wedi'i ffurfweddu i dderbyn a gosod llwybrau, neu a yw'n eu hatal? Os yw'r llwybr yn bodoli yn rhywle, a yw'r llwybr chwilio'n gywir ar gyfer y traffig rydych chi'n ei brofi?

Dim ond pan fo'r ateb cyntaf yn do, yr ail yn do a'r trydydd yn gywir y mae sgript atodol yn amddiffynadwy, a hyd yn oed yna dylech ofyn a yw'r backend yn cefnogi'r llwybr yn frodorol. Mae cyfeirlyfr gosodiadau VPN yn dogfennu service-type a'r geiriadur data sy'n benodol i'r ategyn, a dyna lle i ddechrau cyn tybio bod allwedd yn bodoli.

Ar ôl cywiriad a gymeradwywyd, cysylltwch eto a phrofi'r gyrchfan yn ôl cyfeiriad ac yna yn ôl enw, yna datgysylltwch a chysylltwch eto i gadarnhau bod y cyflwr yn ailadroddadwy. Un perchennog, un tabl, a llwybr sy'n diflannu gyda'r tiwnel yw'r canlyniad sy'n werth ei gael.