OpenVPN redirect-gateway: beth mae pob baner yn ei wneud i'r llwybrau

Cysylltwch gyda redirect-gateway yn y proffil, ac efallai y bydd llwybr diofyn eich peiriant yn diflannu, yn rhannu'n ddau, neu'n aros yn union lle'r oedd, yn dibynnu ar faneri nad yw neb yn eu darllen ddwywaith. Mae'r opsiwn yn newid cyflwr llwybro a dim arall, felly'r unig dystiolaeth ddibynadwy o'r hyn a wnaeth yw'r tabl a osododd y cleient wedyn. Yr hyn sy'n dilyn yw'r tabl ar ôl cysylltiad, y llwybr sy'n cadw'r twnnel ei hun yn fyw, a'r traffig IPv6 nad yw'r gyfarwyddeb byth yn honni ei fod yn ei gynnal. Mae pob cam yn orchymyn y gallwch ei redeg ar y cleient tra bo'r twnnel i fyny.

Beth mae pob baner yn ei wneud i'r llwybr diofyn

Heb unrhyw faner o gwbl, mae'r opsiwn yn tynnu'r llwybr diofyn arferol ac yn rhoi'r twnnel yn ei le, felly mae'r hen borth yn diflannu o'r tabl tra bo'r cysylltiad i fyny. Ychwanegwch def1 ac mae'r diofyn hwnnw'n parhau ar y rhestr, gyda dau lwybr culach yn gwneud y gwaith yn lle hynny. Ychwanegwch bypass-dhcp ac mae llwybr DHCP yn goroesi hefyd, sy'n bwysig ar rwydwaith lle mae'n rhaid i'r cleient gyrraedd gweinydd DHCP lleol o hyd. Mae'r rhestr baneri ar dudalen lawlyfr OpenVPN 2.6 yn ddigon byr i'w darllen unwaith, ac mae pob cofnod yn newid pa lwybrau sy'n gorffen yn y tabl.

Mae opsiwn a wthir yn ymddwyn yr un ffordd pan fo'n cyrraedd, felly efallai nad yw proffil y cleient yn cynnwys dim tra bo'r tabl yn edrych yn gwbl ailgyfeiriedig. Mae hynny'n normal: anfonodd y gweinydd y baneri, cymhwysodd y cleient nhw, ac ni soniodd y ffeil leol am y gyfarwyddeb erioed. Pan fo gwthiad yn ymddangos fel pe na bai'n gwneud dim, gwiriwch yr hidlydd ar ochr y cleient sy'n derbyn neu'n gollwng opsiynau a dynnwyd, oherwydd nid yw opsiwn a ollyngwyd yn codi gwall ar y naill ochr na'r llall.

Mae def1 yn ennill trwy benodoldeb heb gyffwrdd eich llwybr diofyn

Mae dau lwybr hanner-diofyn rhyngddynt yn cynnwys y gofod IPv4, 0.0.0.0/1 a 128.0.0.0/1. Mae pob un yn fwy penodol na 0.0.0.0/0, felly mae chwiliad yn eu ffafrio tra bo'r gwir ddiofyn yn aros yn y tabl ar gyfer unrhyw beth sy'n gofyn am y cyfatebiad lleiaf penodol.

Darllenwch y tabl yn hytrach na'r proffil, oherwydd dim ond y tabl sy'n dangos pa un o'r achosion hynny ydych ynddo. Mae dwy linell yn ddigon i'w gwahaniaethu:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Nodwch y rhyngwyneb a'r metrig ar bob llinell, nid y cyrchfan yn unig. Mae diofyn sy'n pwyntio at y twnnel a phâr o hanner-diofynau sy'n pwyntio at y twnnel yn disgrifio'r un bwriad ac yn methu'n wahanol pan fydd y twnnel yn cwympo, oherwydd mae'r ôl-gwym yn dal i fodoli mewn un achos. Cofnodwch y ddau faes yn y nodyn newid. Weithiau'r ôl-gwym sy'n goroesi sy'n cadw sesiwn bell yn fyw yn ddigon hir i atgyweirio'r twnnel, a hwnnw hefyd sy'n gollwng traffig pan oedd y bwriad yn dwnnel llawn.

Cadwch ben draw'r twnnel yn gyrraeddadwy

Mae angen llwybr ar y cleient i ben pellaf y twnnel nad yw ei hun yn mynd trwy'r twnnel. Mae OpenVPN yn gosod y llwybr gwesteiwr hwnnw cyn newid unrhyw beth arall, a gall golygiad llwybr â llaw neu ail gleient VPN ei dynnu ymaith. Y symptom wedyn yw cysylltiad sy'n dweud ei fod wedi cysylltu ac yna'n pasio dim.

Gofynnwch i'r cnewyllyn pa ryngwyneb y byddai'n ei ddefnyddio ar gyfer cyfeiriad y pen draw tra bo'r twnnel i fyny. Rhaid i'r ateb enwi'r rhyngwyneb ffisegol a'i borth, byth tun0:

ip route get 198.51.100.20

Os yw'r chwiliad hwnnw'n dychwelyd dyfais y twnnel, mae'r twnnel yn cario ei drafnidiaeth ei hun a bydd yn cwympo cyn gynted ag y bydd angen i becyn adael. Mae rhagddodiadau lleol, ail addasydd a llwybro polisi yn dal i fod o bwys yma, a dyna pam y gall ailgyfeiriad sy'n gweithio ar liniadur glân fethu ar westai sydd â rhyngwyneb rheoli a dau ddiofyn. Fel arfer beïir y proffil am yr hyn a wnaeth y cynllun cyfeiriadau.

Mae traffig IPv6 yn parhau i ddefnyddio ei dabl ei hun

Mae ailgyfeirio IPv4 yn gadael IPv6 yn llonydd, ac mae'r ddwy deulu'n cael eu newid gan faneri gwahanol. Ar westai deu-stack sydd â diofyn v6 sy'n gweithio, gall traffig v4 eistedd yn gyfan gwbl y tu mewn i'r twnnel tra bo pob cyrchfan sy'n gallu v6 yn gadael dros y cysylltiad ffisegol. Mae gwestai sy'n edrych yn gywir mewn un tabl yn gollwng yn y llall.

Gwiriwch y tabl v6 ar ôl cysylltu yn lle tybio bod y twnnel wedi'i gynnal. Mae'r gyfarwyddeb yn cario baneri teulu cyfeiriadau am yr union reswm hwn, ac mae proffil sy'n eu hepgor yn etifeddu'r hyn y mae'r platfform yn ei wneud yn ddiofyn:

ip -6 route show default
ip -6 route get 2001:db8::10

Profwch pa ryngwyneb y mae rhaglen yn ei ddefnyddio

Nid yw cyflwr cysylltiedig yn floc, ac nid yw newid llwybr yn switsh stop. Os oes rhaid i draffig uniongyrchol stopio pan fydd y twnnel yn methu, mae'r polisi hwnnw'n byw yn y mur gwarchod ac angen ei brawf ei hun.

Profwch y llwybr y mae rhaglen yn ei gymryd mewn gwirionedd yn hytrach na'r llwybr y mae'r proffil yn ei ddisgrifio. Gofynnwch am y llwybr yn gyntaf, yna clymwch gais i bob rhyngwyneb yn ei dro a chymharwch yr hyn y mae'r ochr bell yn ei riportio:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Os yw'r ddau gais yn dychwelyd yr un cyfeiriad, nid yw'r rhaglen yn defnyddio'r twnnel er bod y tabl llwybro'n dweud y dylai. Os mai dim ond y cais sy'n rhwym i'r twnnel sy'n llwyddo, mae'r llwybr ffisegol wedi'i hidlo ar gyfer y cyrchfan honno ac mae'r twnnel yn gwneud yr hyn y gwnaethoch ofyn amdano. Ysgrifennwch y baneri, y llwybrau sydd wedi'u gosod, y chwiliad pen draw a'r ddau ganlyniad allanfa yn y cofnod newid, fel bod y person nesaf yn etifeddu ffeithiau yn lle sgrinlun.