Mae eich hen lwybr diofyn yn goroesi OpenVPN yn fwriadol

Rydych yn cysylltu’r twnnel, yn rhedeg ip route, ac mae’r porth diofyn gwreiddiol yn dal i fod yno. Y meddwl nesaf yw bod y cleient wedi methu â chymryd y llwybr drosodd, felly byddwch yn dileu’r llwybr diofyn â llaw ac yn colli cysylltedd yn llwyr. Mae’r cofnod hwnnw i fod i aros. Gyda redirect-gateway def1, mae OpenVPN yn gosod dau lwybr mwy penodol sy’n uwch na’r llwybr diofyn arferol yn lle ei ddisodli. Mae’r hen borth yn aros ac yn stopio cario’r traffig yr oeddech yn ei brofi.

Beth mae def1 yn ei wneud mewn gwirionedd

Mae’r baner yn ychwanegu 0.0.0.0/1 a 128.0.0.0/1, y ddau’n pwyntio at y twnnel. Mae 0.0.0.0/1 yn cymryd pob cyfeiriad y mae ei octed cyntaf rhwng 0 a 127, ac mae 128.0.0.0/1 yn cymryd 128 i 255, felly mae gan bob cyrchfan IPv4 gydweddiad mwy penodol na’r hen lwybr diofyn. Hyd y rhagddodiad, nid y metrig, sy’n penderfynu pa lwybr sy’n ennill.

Mae gadael y llwybr diofyn gwreiddiol yn ei le yn fwriadol. Nid oes rhaid i’r cleient gofio beth a ddisodlodd, ac nid yw’n ailysgrifennu’r llwybr sy’n cario ei gysylltiad ei hun â’r gweinydd VPN. Wrth ddatgysylltu mae’n tynnu’r ddau hanner llwybr ac mae’r tabl yn dychwelyd i’r hyn ydoedd.

Pam /1 ac nid /0

Mae llwybro yn dewis y rhagddodiad cyfatebol hiraf, nid y metrig isaf, felly mae /1 yn curo /0 beth bynnag mae metrig y llwybr diofyn yn ei ddweud. Mae’r ddau hanner yn bodoli oherwydd bod un /1 yn gorchuddio hanner y gofod yn unig; gyda dim ond 0.0.0.0/1 yn bresennol, mae popeth o 128.0.0.0 i fyny yn dal i ddilyn yr hen lwybr diofyn, sy’n cynhyrchu’r symptom dryslyd lle mae rhai safleoedd yn gweithio ac eraill ddim.

Nid yw codi neu ostwng metrig yr hen lwybr diofyn yn newid dim, ac nid yw llwybr diofyn â metrig is ar ryngwyneb arall yn dwyn y traffig chwaith. Hyd y rhagddodiad sy’n penderfynu gyntaf, a dim ond rhagddodiaid cyfartal sy’n disgyn yn ôl i’r metrig.

Darllenwch dabl llwybro go iawn

Gall gwesteiwr cysylltiedig ddangos y tri chofnod ar unwaith, gyda’r twnnel yn cario’r haneri a’r porth gwreiddiol yn dal i fod ar y rhestr. Mae’r cyfeiriadau yn enghreifftiau yn hytrach na chyfluniad i’w gopïo, oherwydd mae enwau rhyngwynebau, topoleg y twnnel a llwybrau ychwanegol yn amrywio yn ôl platfform a chleient.

default via 192.168.50.1 dev wlan0
0.0.0.0/1 via 10.8.0.1 dev tun0
128.0.0.0/1 via 10.8.0.1 dev tun0

Y pwysicaf yw’r berthynas: dau hanner penodol uwchben un llwybr diofyn cyffredinol. Mae llinell yr hen borth yn aros oherwydd na ddisodlodd dim hi.

Gwiriwch pa lwybr y mae’r pecyn yn ei gymryd mewn gwirionedd

Gall llwybrau mwy penodol ennill o hyd: llwybr ar gyfer ystod breifat, is-rwydwaith lleol neu gyfeiriad y gweinydd VPN ei hun yn hirach na /1. Mae ar y twnnel angen llwybr allanol at ei weinydd, a byddai anfon y cysylltiad hwnnw’n ôl i’r twnnel yn ei dorri ar unwaith. Ar Linux, gofynnwch i’r cnewyllyn yn lle darllen y tabl â llygad: mae ip route get gyda’r gyrchfan o ddiddordeb yn argraffu’r llwybr a ddewiswyd, y rhyngwyneb a’r ffynhonnell. Os oes llwybro polisi wedi’i ffurfweddu, archwiliwch y rheolau hefyd, oherwydd gall rheol ddewis tabl gwahanol cyn ymgynghori â’r prif un.

Os mai dim ond rhan o IPv4 sy’n camymddwyn, cadarnhewch fod y ddau hanner wedi’u gosod ac yna chwiliwch am eithriad sy’n cyfateb i’r gyrchfan sy’n methu. Nid yw dileu’r hen lwybr diofyn yn atgyweiriad, ac mae’n tynnu’r llwybr sydd ei angen ar y cleient i ddadsyllu’r twnnel yn lân.

Beth nad yw def1 yn ei gwmpasu

Nid yw dau gofnod IPv4 yn dweud dim am IPv6: mae gwesteiwr â chysylltedd IPv6 yn dal i ddefnyddio ei lwybr diofyn ei hun nes bod rhywbeth yn ailgyfeirio’r teulu hwnnw ar wahân, a dyna pam mae rhywfaint o draffig yn ymddangos fel pe bai’n osgoi’r twnnel ar rwydwaith deu-stac. Mae cleientiaid a rheolwyr rhwydwaith eraill yn gweithredu llwybro twnnel llawn yn wahanol, ac ni fydd eu tablau yn cyfateb. Mae ymddygiad def1 a ddisgrifir yma yn perthyn i faner ddogfennedig OpenVPN, nid i bob VPN ar y peiriant.

Mae kill switch yn ateb cwestiwn gwahanol: beth mae’r peiriant yn ei wneud pan fydd y twnnel yn cwympo. Mae blaenoriaeth llwybrau yn penderfynu i ble mae traffig yn mynd tra bod y twnnel i fyny; nid yw’n penderfynu beth mae wal dân yn ei wneud wedyn. Trefn gwaith: darllenwch y tabl, cadarnhewch fod y ddau hanner yn bodoli, rhedwch ip route get ar gyfer y gyrchfan sy’n methu, gwiriwch y rheolau polisi, yna edrychwch ar IPv6 ar wahân. Gadewch yr hen lwybr diofyn lle mae.