Nid yw route-gateway yn redirect-gateway: beth sy’n newid mewn gwirionedd
Dim ond cam nesaf i’r llwybrau y mae OpenVPN yn eu gosod y mae’r opsiwn hwn yn ei ddarparu. Nid yw ei dynnu’n diffodd twnnel llawn a wthiwyd, ac mae’r atgyweiriad yn perthyn i’r ailgyfeirio.
Daw eich twnnel i fyny, mae’r is-rwydwaith preifat yn ateb, ac mae pori cyffredin yn dal i ddiflannu i’r VPN er i rywun ddileu llinell y porth o’r proffil. Mae’r cyfuniad hwnnw’n ôl bys y cyfarwyddeb anghywir a olygwyd. Roedd yr hyn a dynnwyd yn rhoi cam nesaf i’r cleient ar gyfer y llwybrau y mae’n eu gosod; daeth yr hyn a barhaodd i ddal traffig o rywle arall ac fe’i gwthiwyd gan y gweinydd. Mae gorchudd a cham nesaf yn dasgau ar wahân, a dim ond un ohonynt sy’n penderfynu a yw cyrchfannau cyhoeddus yn defnyddio’r twnnel.
Roedd y linell a dynnwyd gennych yn gam nesaf, nid yn switsh polisi
Mae angen cyfeiriad porth ar bob llwybr y mae’r cleient yn ei osod i bwyntio ato, a’r gyfarwyddeb porth yw’r ffynhonnell ar gyfer y cyfeiriad hwnnw pan na fydd llwybr yn enwi un ei hun. Dilëwch hi ac nid oes gan y llwybrau hynny le i lynu wrtho, felly naill ai maent yn methu â gosod neu’n glanio ar lwybr sy’n mynd i unman. Yr is-rwydwaith preifat yw’n union yr hyn a oedd llwybr o’r fath yn ei gario.
Yn y cyfamser mae gan yr ymddygiad a oroesodd awdur gwahanol: opsiwn ailgyfeirio yn y bloc a wthiwyd, sy’n symud traffig allan cyffredin i’r twnnel yn ôl ei faneri. Nid yw tynnu’r porth yn ei ddiffodd nac yn ei wanhau. Y canlyniad yw’r gwaethaf o’r ddau gyflwr, gyda thraffig cyhoeddus yn dal i gael ei ddal a’r gyrchfan breifat a gyfiawnhaodd y twnnel bellach yn un na ellir ei chyrraedd. Dyna pam nad yw’r ail olygiad, a wnaed yn yr un ysbryd, yn newid dim chwaith.
Pedair lifer, pedair tasg wahanol
Cyfeirir at bedair cyfarwyddeb yn gyfnewidiol yn y drafodaeth hon, a dim ond un ohonynt sy’n rheoli gorchudd, sef pa gyrchfannau a lwybrir trwy’r twnnel o gwbl. Mae ail yn gosod y cam nesaf y mae llwybrau’n ei ddefnyddio, mae trydedd yn gosod un rhagddodiad, ac mae pedwaredd yn taflu popeth a wthiwyd gan y gweinydd, gan gynnwys y llwybrau preifat y mae’r defnydd yn eu hangen. Mae’r tabl yn eu didoli yn ôl yr hyn y mae gweinyddwr yn ceisio ei newid yn hytrach nag yn ôl enw, oherwydd yr enwau sy’n achosi’r dryswch. Triniwch hwy fel pedair penderfyniad ar wahân a dewiswch yr un yr hoffech ei wrthdroi mewn gwirionedd.
Yn ymarferol daw’r pedwar yn aml mewn un bloc a wthiwyd, linell ar ôl linell, sy’n gwneud iddynt edrych fel rhannau o un gosodiad. Nid ydynt, ac mae cyfeirlyfr OpenVPN yn eu dogfennu fel mecanweithiau gwahanol am y rheswm hwnnw. Darganfod pa benderfyniad rydych yn ei wrthdroi yw’r dasg; un linell yw’r golygiad.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Hidliwch y linell a wthiwyd, cadwch y cam nesaf
Os daw’r gorchudd rydych yn gwrthwynebu iddo fel opsiwn a wthiwyd, yr ymateb cul yw anwybyddu’r opsiwn hwnnw wrth ei enw a gadael gweddill y bloc a wthiwyd yn gyfan. Wrth ei ysgrifennu fel hidlydd, mae’n edrych fel y linell isod, ac mae’n perthyn i broffil y cleient yr effeithir arno, nid i ffurfweddiad y gweinydd.
pull-filter ignore "redirect-gateway"Culni yw’r pwynt. Gan fod y hidlydd yn cymharu rhagddodiad testun, mae patrwm byrrach hefyd yn cyfateb i’r gyfarwyddeb cam nesaf, sy’n tynnu’n union y wybodaeth y mae’r llwybrau preifat yn dibynnu arni ac yn ailgynhyrchu’r camgymeriad gwreiddiol mewn gwisg newydd. Mae hidlydd hefyd yn gweithredu ar opsiynau a wthiwyd yn unig, felly nid yw byth yn cyffwrdd llinell gyfatebol a ysgrifennwyd yn lleol neu a osodwyd gan reolwr rhwydwaith. Ailgysylltwch wedyn, gan nad yw sesiwn fyw yn ailosod yr hyn a wthiwyd gan y gweinydd.
Darllenwch y chwiliad, nid y tabl
Ar ôl ail-lwytho’r proffil, gofynnwch i’r cnewyllyn i ble y byddai dau gyrchfan yn mynd mewn gwirionedd: un y tu mewn i’r rhagddodiad preifat ac un ar y rhyngrwyd gyhoeddus. Mae dymp llawn o’r prif dabl yn anoddach ei ddarllen ac yn haws ei ddarllen yn anghywir, oherwydd gall llwybr fodoli ac eto colli i gyfateb mwy penodol. O dan lwybr polisi mae’r rheol, y tabl a’r cyfeiriad ffynhonnell hefyd yn rhan o’r gwiriad.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showMae amrywiolyn def1 yn haeddu cynefindra, oherwydd mae’n gadael y cofnod diofyn hen yn weladwy tra bod pâr o hanner-diofyn yn ennill y chwiliad. Felly nid yw llinell 0.0.0.0/0 yn yr allbwn yn profi dim ynddi’i hun. Mae’r chwiliad yn ateb y cwestiwn y mae’r rhestr yn ymddangos yn ei ateb yn unig.
Rhaid i DNS, IPv6 a’r llwybr preifat weithio o hyd
Nid yw gwrthod un ailgyfeiriad IPv4 yn dweud dim am y datryswr, felly gall opsiwn DNS a wthiwyd barhau i anfon ymholiadau i’r twnnel tra bod y llwybrau’n edrych yn gywir. Gall diofyn IPv6 wneud yr un peth ar gyfer teulu cyfeiriad na chyffyrddodd y gwiriad IPv4 ag ef. Mae angen penderfyniad penodol ar y ddau yn hytrach na thybiaeth. Yna cadarnhewch fod y gwasanaeth preifat yn dal i ateb, oherwydd nid twnnel hollt yw twnnel hollt sydd wedi colli ei lwybr preifat, twnnel toredig ydyw.
Mae un offeryn ehangach yn haeddu rhybudd: mae route-nopull yn taflu pob llwybr a wthiwyd a phob opsiwn DNS a wthiwyd, sydd yn sicr yn stopio’r twnnel llawn ac yr un mor sicr yn torri’r llwybrau preifat y mae’r defnydd yn dibynnu arnynt, felly mae’n forthwyl lawer mwy na hidlydd enw wedi’i anelu at un opsiwn. Gwiriwch y gyrchfan breifat, cyrchfan gyhoeddus a’r datryswr ar ôl unrhyw newid, a thriniwch ysgwyd llaw a gwblhawyd fel prawf o ddim byd ond yr ysgwyd llaw.