Llwybrau a wasgwyd gan OpenVPN heb eu gosod: amser, hawliau neu bolisi

Mae’r gweinydd yn dweud iddo wthio’r llwybr, mae’r cleient yn dweud ei fod wedi cysylltu, ac mae’r cyrchfan yn dal yn anghyraeddadwy. Mae tri achos yn cynhyrchu’r un darlun yn union. Rhoddwyd y llwybr ychwanegol cyn bod y ddyfais yn bodoli, nid oedd gan y cleient yr hawliau i newid y tabl, neu roddodd polisi ar y cleient i anwybyddu’r opsiynau a wasgwyd.

Maen nhw’n edrych yr un peth o’r tu allan ac mae angen gwahanol atgyweiriadau. Darllenwch log y cleient ar y pwynt lle gwneir y penderfyniad am y llwybr.

Profwch fod y llwybr yn absennol, nid yn unig yn doredig

Dechreuwch drwy brofi bod y llwybr yn absennol yn hytrach na thoredig. Ar Linux, mae ip route show dev tun0 yn rhestru’r hyn a osododd y cleient ar ddyfais y tiwnel. Ar Windows, mae route print neu Get-NetRoute yn dangos yr un peth ar ffurf tabl.

Mae llwybr sy’n bodoli ond heb anfon traffig yn broblem wahanol. Mae hynny’n symud yr ymchwiliad i reolau anfon a mur gwarchod, nid i osod llwybrau.

Amser: cafodd yr ychwanegiad ei redeg cyn bod y ddyfais yn bodoli

Mae’r cleient yn dosrannu PUSH_REPLY y gweinydd ar ôl i’r sianel reoli godi ac ar ôl iddo ffurfweddu’r rhyngwyneb. Dim ond wedyn y mae’n cyffwrdd â’r tabl llwybr, gan ddefnyddio pa bynnag fecanwaith a ddarperir gan y platfform. Mae Linux yn mynd drwy netlink; mae Windows yn defnyddio API sy’n gofyn am docyn uwch. Gall sgript neu gleient sy’n ychwanegu llwybrau cyn gynted ag y mae’n darllen y ffurfweddiad redeg cyn bod dyfais TUN/TAP yn bodoli, ac mae’r cnewyllyn yn gwrthod yr ychwanegiad.

Mae’r un ras yn egluro pam mae llwybr a deipiwyd â llaw yn gweithio tra nad yw’r un awtomatig yn gwneud: erbyn i chi ei deipio, mae’r rhyngwyneb i fyny.

Mae route-delay yn bodoli ar gyfer yr achos hwn, ac mae route-up yn enwi sgript sy’n rhedeg ar ôl ffurfweddu’r rhyngwyneb a’r llwybrau. Rhowch lwybrau sy’n dibynnu ar gyfeiriad y tiwnel yn y bachyn hwnnw yn hytrach nag mewn cam cynnar.

Hawliau: pwy sy’n cael newid y tabl

Mae newid tabl llwybr Windows angen tocyn uwch. Gall GUI a gychwynnwyd gan ddefnyddiwr safonol osod cyfeiriad y addasydd drwy’r gwasanaeth ac eto methu ag ychwanegu llwybr. Yna mae’r log yn dangos gwall tebyg i fynediad wedi’i wrthod yn hytrach nag wthio ar goll.

Mae cychwyn y GUI fel gweinyddwr, neu ddefnyddio’r cleient sy’n seiliedig ar wasanaeth, yn newid y canlyniad hwnnw. Nid yw tasg a drefnwyd sy’n lansio’r cleient heb y tocyn gofynnol yn gwneud hynny.

Gwiriwch pa gyfrif y mae’r cleient yn rhedeg dano mewn gwirionedd cyn newid unrhyw beth. Mae’r fersiwn a’r modd gwasanaeth yn penderfynu pa achosion sy’n bosibl o gwbl, felly cofnodwch y ddau wrth ymyl allbwn y llwybr.

Polisi: gellir taflu llwybrau a wasgwyd i ffwrdd yn fwriadol

route-nopull yn gwneud i’r cleient anwybyddu llwybrau y mae’r gweinydd yn eu gwthio, gan gynnwys llwybr rhagosodedig a wasgwyd, tra bod cyfeiriad y tiwnel yn dal i gael ei dderbyn. Mae opsiynau DNS a DHCP a wasgwyd yn cael eu gollwng gan yr un gorchymyn. Nid yw cleient o’r fath yn ddiffygiol; mae’n disgwyl llinellau llwybr pendant yn ei ffurfweddiad ei hun.

Mae route-noexec yn reolaeth wahanol: mae’n atal y cleient rhag gweithredu newidiadau llwybr o gwbl. Gall topoleg na all y cleient ei mapio gynhyrchu canlyniad tebyg, gyda’r llwybr yn cael ei gofnodi fel un a wrthodwyd yn hytrach nag un a ychwanegwyd. Darllenwch y llinell log sy’n adrodd y penderfyniad yn hytrach na dyfalu pa un o’r tri sy’n berthnasol. Yna gwiriwch y proffil effeithiol, oherwydd gall mewnforiwr neu offeryn rheoli ychwanegu opsiynau na chafodd y defnyddiwr eu golygu erioed.

Gall proffil sy’n edrych yn lân mewn golygydd testun fod yn cario gorchymyn ychwanegol ar amser rhedeg.

Cymharwch y rhestr wthio â’r tabl

Ar ôl cysylltu, rhowch restr wthio’r gweinydd wrth ymyl tabl y cleient. Ar Linux hwnnw yw ip route show dev tun0; ar Windows, route print neu Get-NetRoute. Os yw’r llwybr yn absennol, trwsiwch y gosodiad yn gyntaf. Os yw’n bresennol ac mae traffig yn methu, symudwch ymlaen i bolisi anfon a mur gwarchod.

Cofnodwch fersiwn y cleient, y cyfrif y mae’n rhedeg dano ac a yw’n seiliedig ar wasanaeth. Mae’r tri ffaith hynny’n dweud wrth y person nesaf pa achosion a waharddwyd.