Mae pull-filter OpenVPN yn cyfateb i fwy na'r llwybr a fwriadwyd

Rydych chi'n ychwanegu un llinell i gadw eich llwybr diofyn lleol, ac wedi hynny nid yw'r twnnel yn cyrraedd y gweinydd DNS mewnol mwyach. Y llinell oedd pull-filter ignore "route", nad yw'n golygu "anwybyddu'r llwybr hwn". Mae'n golygu "taflu pob opsiwn a wthiwyd y mae ei destun yn dechrau gyda'r pum llythyren hynny", ac ar weinydd arferol mae hynny'n cynnwys route-gateway, route-metric a route-ipv6 ynghyd â'r llwybrau eu hunain. Y rhestr wirio isod yw'r hyn rwy'n ei rhedeg cyn cyffwrdd â phroffil y mae'n rhaid i rywun arall ei ddefnyddio.

Dim ond ar opsiynau a wthir y mae'r hidlydd yn gweithio

Mae pull-filter yn gweithredu ar y llinellau opsiwn y mae'r gweinydd yn eu hanfon ar ôl sefydlu'r twnnel, ac ar ddim arall. Nid yw opsiynau a ysgrifennwyd yn eich ffeil leol yn cael eu heffeithio ganddo, ac nid yw traffig cymwysiadau chwaith. Os oeddech yn gobeithio atal proses rhag defnyddio'r twnnel, yr offeryn anghywir yn llwyr yw hwn ac ni fydd unrhyw gyfuniad o hidlwyr yn ei wneud.

Mae'r cwmpas hwn yn ddefnyddiol, oherwydd ei fod yn golygu y gallwch adael cyfluniad y gweinydd yn llonydd ac eto gwrthod rhan ohono'n lleol. Mae hefyd yn gyfyngiad sy'n werth ei nodi yn y tocyn: mae hidlydd yn newid yr hyn y mae'r cleient hwn yn ei dderbyn, nid yr hyn y mae'r gweinydd yn ei gynnig. Nid oes ganddo unrhyw effaith ar ddefnyddwyr eraill o'r un proffil. Ac nid yw'n goroesi newid i gleient arall nad yw'n gweithredu'r opsiwn, sy'n werth ei wybod cyn i chi adeiladu llif gwaith arno.

Cadarnhewch yr hyn y mae'r gweinydd yn ei anfon mewn gwirionedd cyn ysgrifennu'r patrwm. Ar lefel uchel o fanwl y mae'r cleient yn argraffu'r llinyn opsiwn a wthiwyd a gafodd, a hwn yw'r unig ffynhonnell onest ar gyfer y testun union y gwnaethoch gyfateb ag ef:

sudo openvpn --config /etc/openvpn/corp.ovpn --verb 4
sudo grep -n 'pull-filter' /etc/openvpn/corp.ovpn

Darllenwch y llinell a wthiwyd fel rhestr o opsiynau wedi'u gwahanu gan atalnodau, a sylwch fod enwau opsiynau a'u dadleuon wedi'u gwahanu gan fylchau. Mae eich testun hidlydd yn cael ei gymharu â'r ffrwd honno, a dyna pam mae gofod gwyn mor bwysig yn y cam nesaf.

Mae cyfateb yn rhagddodiad, felly gofod gwyn yw'r gêm gyfan

Mae'r gymhariaeth yn rhagddodiad llinyn, nid enw opsiwn wedi'i ddadansoddi. Felly mae "route" yn cyfateb i route-gateway 10.8.0.1, route-ipv6 2001:db8::/32 a route-metric 100. Mae un bwlch ar y diwedd yn ei gulhau i'r teulu a fwriadwyd gennych yn ôl pob tebyg, ac mae'r rhagddodiad llawn yn ei gulhau ymhellach i gyrchfan benodol.

Y rhes olaf yw'r un sy'n dal pobl yn ystod gwaith twnnel hollt. Mae cadw eich datryswr eich hun yn ddewis cyfreithlon, ac mae'n golygu bod pob enw mewnol bellach yn dibynnu ar ddatryswr na all weld y parth preifat. Canlyniad i'w dderbyn yn fwriadol yw hynny, nid sgil-effaith i'w darganfod mewn cynhyrchu.

Mae cyfateb rhagddodiad hefyd yn golygu y gall rheol ehangu'n dawel yn ddiweddarach. Pan fydd y gweinydd yn ychwanegu opsiwn newydd sy'n dechrau gyda'ch testun, mae eich hidlydd yn dechrau gweithredu arno heb i unrhyw un olygu eich proffil. Dyna'r modd methu y dylid dylunio yn ei erbyn, a'r lliniaru yw cyfateb cymaint o'r opsiwn ag y gallwch yn hytrach nag mor fach ag y gallwch.

Tri berf â thri chanlyniad gwahanol

Nid yw accept, ignore a reject yn dri sillafiad o'r un syniad. Maen nhw'n wahanol yn yr hyn y mae'r cleient yn ei wneud â chyfateb ac yn y p'un a fydd rhywun yn clywed amdano.

Mae ignore yn taflu'r opsiwn cyfatebol yn dawel, sef yr hyn a gewch ar gyfer gosodiad yr ydych wedi'i ddisodli'n fwriadol. Mae reject yn ei daflu ac yn gwneud i'r cleient gwyno, sef yr hyn a gewch pan ddylai ei absenoldeb fod yn weladwy mewn log yn hytrach na chael ei ddarganfod yn ddiweddarach. accept yw'r ffurf gadarnhaol, a ddefnyddir pan fyddwch yn adeiladu rhestr caniatâd yn hytrach na dileu opsiynau unigol.

Pa ferf bynnag a ddefnyddiwch, mae'r hidlwyr yn cael eu cymhwyso yn y drefn y maent yn ymddangos, felly mae dwy reol sy'n gorgyffwrdd yn rhoi canlyniad sy'n dibynnu ar drefn ac sy'n anodd iawn ei adolygu. Cadwch un rheol fesul bwriad a rhowch y testun mwyaf penodol ym mhob un. Os oes angen rhestr caniatâd arnoch, mae'n well gennych ychydig o reolau accept na thomen o reolau ignore sy'n adio i'r un peth. Yna gall adolygwyr ddarllen y ffeil o'r top i'r gwaelod a rhagweld y canlyniad, a dyna'r unig brawf sy'n graddio.

Gwiriwch y llwybr a'r datryswr a gymhwyswyd, nid y proffil

Gall hidlydd sy'n edrych yn gywir yn y ffeil eich gadael o hyd gyda thwnnel nad yw'n llwybro unrhyw beth defnyddiol. Gwiriwch yr effaith ar y system sy'n rhedeg, lle mae opsiynau a wthiwyd eisoes wedi'u cymhwyso neu wedi'u taflu:

ip route show default
ip route show | grep -c 'proto static'
resolvectl status | grep -A4 'Link.*tun0'
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://intranet.example.internal/

Mae'r ddwy linell gyntaf yn dweud wrthych a gyrhaeddodd y llwybr diofyn a wthiwyd a faint o gofnodion statig a oroesodd. Mae'r ymholiad datryswr yn dangos pa weinydd y mae'r rhyngwyneb twnnel yn ei ddefnyddio mewn gwirionedd, a dyna fel arfer lle mae annisgwyl DNS yn ymddangos. Mae'r llinell olaf yn ateb yr unig gwestiwn sy'n bwysig i ddefnyddiwr.

Profwch y ddau gyfeiriad tra byddwch yno. Mae rheol sy'n cadw eich rhyngrwyd lleol yn gweithio ond yn torri datrysiad enwau mewnol yn dawel yn pasio gwiriad arwynebol ac yn methu'r dasg go iawn gyntaf, felly cynhwyswch un adnodd mewnol ac un safle cyhoeddus yn yr un prawf.

Cofnodwch yr eithriad a phwy sy'n berchen arno

Mae hidlydd yn eithriad i gynllun y gweithredwr, felly ysgrifennwch ef gyda rheswm a phwynt adolygu. Mae "Yn anwybyddu llwybrau a wthiwyd i gadw'r diofyn lleol" yn adolygadwy; nid yw llinell noeth mewn proffil, a bydd y person nesaf yn ei dileu neu'n ei hymestyn trwy ddyfalu.

Mae fersiwn yn cyfrif yma hefyd. Mae'r ymddygiad cyfateb a'r gystrawen union a dderbynnir wedi'u mireinio ar draws OpenVPN 2.4, 2.5 a 2.6, felly cadarnhewch y patrwm yn erbyn llawlyfr y build rydych yn ei gyflenwi yn hytrach nag yn erbyn post fforwm am ryddhau hŷn. Mae llawlyfr OpenVPN 2.6 yn dogfennu'r opsiwn a'i reol gyfateb.

Yn olaf, cytunwch yr eithriad gyda'r sawl sy'n rhedeg y gweinydd. Mae hidlydd ochr cleient sy'n gwrth-ddweud polisi gweinydd bwriadol yn ddigwyddiad cymorth sy'n aros am yr archwiliad nesaf, ac mae'n llawer rhatach ei setlo cyn i'r proffil gael ei gyflenwi nag ar ôl i rywun sylwi bod y llwybrau ar goll.