Pam mae'r is-rwydwaith y tu ôl i gleient OpenVPN yn anghyrraeddadwy?

Mae pingiadau i gyfeiriad twnnel y gweinydd yn llwyddo, mae tabl llwybrau'r cleient ei hun yn edrych yn iawn, ac mae'r LAN y tu ôl i'r cleient hwnnw yn dal yn anghyrraeddadwy. Mae tabl llwybro'r cleient yn edrych yn gywir, mae gan y gweinydd lwybr sy'n pwyntio at y twnnel, ac mae pecynnau'n dal i ddiflannu. Dyma symptom clasurol twnnel layer-3 nad oes ganddo syniad bod un o'i gleientiaid hefyd yn borth.

Nid oes gan ryngwyneb tun unrhyw naid nesaf fesul cleient. Mae'r cnewyllyn yn gweld un rhyngwyneb â llawer o gyfoedion, felly rhaid gwneud y penderfyniad pa gleient ddylai dderbyn pecyn ar gyfer LAN bell y tu mewn i broses OpenVPN. Mae'r penderfyniad hwnnw'n cael ei ffurfweddu ag iroute, ac hebddi nid oes i ble y gall y pecyn fynd.

Mae'r gweinydd yn llwybro fesul cleient, nid fesul rhyngwyneb

Pan fo angen i'r gweinydd anfon pecyn i gyfeiriad twnnel cleient, mae'r ateb yn ddiamwys: mae'r cyfeiriad yn perthyn i sesiwn y cleient hwnnw. Pan fo'r cyrchfan yn is-rwydwaith gyfan y tu ôl i'r cleient hwnnw, nid yw'r cyfeiriad yn perthyn i neb y mae'r gweinydd yn ei adnabod, a dim ond "trwy'r rhyngwyneb hwn" y mae llwybr y cnewyllyn i'r twnnel yn ei ddweud, heb nodi pa gyfoed.

Mae OpenVPN yn datrys hyn â thabl llwybro mewnol sy'n mapio rhagddodiad cyrchfan i gleient penodol. Adeiladir y tabl hwnnw o gofnodion iroute, a dyna pam nad yw llwybr cyffredin ar westeiwr y gweinydd yn ddigon. Mae llwybr y cnewyllyn yn cyrraedd y pecyn at ryngwyneb y twnnel; mae'r mapio mewnol yn penderfynu pa sesiwn sy'n ei dderbyn. Dyna hefyd pam nad yw'r atgyweiriad byth yn ymddangos yn allbwn llwybrau'r cnewyllyn.

Os yw'r mapio ar goll, mae'r pecyn yn cyrraedd y gweinydd, yn cyfateb i lwybr y twnnel, ac yn cael ei ollwng oherwydd nad oes unrhyw gleient yn hawlio'r gyrchfan. Nid oes unrhyw beth yn cofnodi gwall glân, a dyna pam y mae'r methiant yn edrych fel twll du distaw yn hytrach na dolen llwybro.

Ysgrifennu'r cofnod iroute sy'n enwi'r cleient

Mae iroute yn byw mewn ffeil ffurfweddu sy'n benodol i'r cleient, nid yng nghyfluniad prif y gweinydd. Pwyntiwch y gweinydd at gyfeiriadur â'r opsiwn client-config-dir, yna crëwch ffeil a'i henw yw enw cyffredin tystysgrif y cleient a rhowch y rhagddodiad ynddi.

Ar gyfer cangen y mae ei LAN yn 10.20.0.0/24 a'i henw cyffredin tystysgrif yn branch-router, mae'r ffeil ar y llwybr hwnnw'n cynnwys llinell fel iroute 10.20.0.0 255.255.255.0. Dim ond yr opsiwn cyfeiriadur sydd ei angen ar y prif gyfluniad; mae'r rhagddodiad yn byw gyda'r cleient.

Yr enw cyffredin yw'r rhan fregus. Mae tystysgrif a gyhoeddwyd â phwnc gwahanol, neu osodiad sy'n dilysu defnyddwyr trwy enw defnyddiwr tra bo'r ffeil wedi'i henwi ar gyfer y dystysgrif, yn cynhyrchu ffeil na chaiff byth ei darllen. Gwiriwch yr enw y mae'r gweinydd yn ei adrodd mewn gwirionedd ar gyfer y sesiwn, ac ystyriwch yr opsiwn sy'n gwneud i gleient heb gydweddiad fethu yn lle cysylltu'n ddistaw heb ei lwybrau. Mae ailenwi'r ffeil i gyd-fynd â'r dystysgrif yn atgyweiriad pum munud sy'n atal noson hir iawn.

Gall un cleient fod yn berchen ar sawl rhagddodiad. Ychwanegwch un llinell iroute fesul rhwydwaith, a chadwch y rhestr wrth weddill gosodiadau'r cleient hwnnw fel bod y mapio'n parhau'n archwiladwy.

Adeiladu'r llwybr dychwelyd yn y ddau gyfeiriad

Cael pecynnau i'r LAN bell yw hanner y gwaith. Rhaid i'r cleient hefyd anfon traffig y LAN honno i mewn i'r twnnel, a wneir fel arfer trwy wthio llwybr at y cleient: mae llinell fel push "route 10.8.0.0 255.255.255.0" yn dweud wrth bob cleient sut i gyrraedd y rhwydwaith ar ochr y gweinydd. Ar gyfer y gangen, mae'r llwybr cyfatebol yn pwyntio at y twnnel ar gyfer popeth y dylai ei gyrraedd ar ochr y gweinydd.

Mae'r cyfeiriad dychwelyd angen perchennog ar yr ochr bell. Yno, rhaid i rywun wybod y ffordd yn ôl: llwybr statig ar lwybrydd y LAN sy'n pwyntio cronfa VPN at y gweinydd, neu gyfieithu cyfeiriadau ar y gweinydd cyn i draffig fynd i mewn i'r LAN. Mae'r llwybr statig yn cadw cyfeiriadau gwreiddiol yn weladwy mewn logiau a rheolau mynediad, ond mae angen cydweithrediad perchennog y LAN; mae cyfieithu yn hunangynhaliol ond yn cuddio pwy gysylltodd mewn gwirionedd.

Rhaid i flaenyrru fod wedi'i alluogi ar westeiwr y gweinydd. Heb hynny mae'r cnewyllyn yn derbyn y pecyn o'r twnnel ac yn gwrthod ei basio i ryngwyneb y LAN, sy'n edrych yn union yr un fath â iroute ar goll o safbwynt y cleient.

Gwirio cyrraeddadwyedd â'r prawfion cywir

Profwch mewn haenau yn lle pingio'r pen pell a dyfalu. O'r gweinydd, gwiriwch fod y mapio mewnol ar gyfer y rhagddodiad yn bodoli a bod llwybr y cnewyllyn yn pwyntio at y twnnel. O'r cleient, cadarnhewch fod y llwybr a wthiwyd wedi'i osod a bod ei lwybr diofyn ar gyfer cyfeiriad y LAN yn y twnnel.

Yna gwyliwch y pecynnau. Mae cipio ar ryngwyneb y twnnel yn dangos a yw'r gweinydd yn trosglwyddo tuag at y cleient, ac mae cipio ar ryngwyneb y LAN yn dangos a yw'n blaenyrru. Os yw'r cyntaf yn dangos pecynnau a'r ail heb ddangos dim, blaenyrru neu hidlydd yw'r broblem; os nad yw'r naill na'r llall yn dangos dim, methodd y chwiliad yn gynharach.

Mae dau weinydd wedi'u huno gan dwnnel yn ailadrodd yr un rheol ar y ddwy ochr: mae angen iroute ar bob un ar gyfer cronfa'r llall, ac mae angen y llwybr a'r blaenyrru sy'n gwneud y ffordd yn gymesur. Mae llwybro a pholisi yn faterion ar wahân yma. Mae llwybro'n penderfynu i ble y gall pecyn fynd, tra bo rheol FORWARD yn penderfynu a gaiff, felly gall cleient â dwy linell iroute gyrraedd y ddau ragddodiad oni bai bod hidlydd yn dweud yn wahanol.