Symudodd y VPN: pam mae eich cleient OpenVPN yn dal i ddeialu'r hen IP

Newidiodd y darparwr eich cyfeiriad cyhoeddus, gwnaethoch ddiweddaru'r cofnod DNS deinamig, ac mae'r cleient yn dal i fethu â chysylltu. O'r tu allan mae'n edrych fel na wnaeth y cofnod ledaenu. Y rhan fwyaf o'r amser mae'r cofnod yn iawn ac mae'r cleient yn ddeialu'r cyfeiriad a ddatryswyd ganddo cyn y symud, oherwydd bod gan diwnel sy'n rhedeg a phroffil a gadwyd eu syniad eu hunain o ble mae'r gweinydd yn byw. Rhaid i dair haen gytuno, ac maent yn diweddaru ar amserlenni gwahanol.

Edrychwch ar beth mae'r proffil yn ei ddeialu, nid ar beth mae DNS yn ei ddweud

Agorwch y cysylltiad rydych yn ei ddefnyddio mewn gwirionedd a darllenwch y llinell remote. Nid yw cyfeiriad rhifol yno byth yn dilyn diweddariad enw gwesteiwr, waeth pa mor gywir y daw'r cofnod.

Yna gwiriwch ai y proffil a olygwyd gennych yw'r un a lwythwyd gan y cleient. Mae proffiliau wedi'u mewngludo yn gyffredin: efallai bod rheolwr wedi cymryd copi fisoedd yn ôl a chadw ei fersiwn ei hun, felly gall y ffeil yn eich ffolder lawrlwytho a'r cofnod yn yr ap anghytuno. Cymharwch y pwynt terfyn yn manylion cysylltiad y cleient ei hun cyn bwrw ati i ddadfygio DNS o gwbl.

Dau ffeil, un pwynt terfyn — dyna'r darganfyddiad arferol yma.

grep -nE '^remote|^resolv-retry|^persist-remote-ip|^float' client.ovpn
printf 'resolver says: '; dig +short vpn.example.net

Darllenwch ymgais gysylltu nesaf y cleient

Ailgychwynnwch y cysylltiad gyda logio manwl a darllenwch y llinell lle mae'n enwi'r cyfeiriad y bydd yn cysylltu ag ef. Y gwerth hwnnw sy'n cyfrif, nid yr hyn a ddatryswyd gan eich porwr.

Gall storfa'r datryswr ddal yr ateb blaenorol o hyd, ac mae rhai rhwydweithiau'n ei gadw'n hirach nag y mae TTL y cofnod yn gofyn. Holwch y datryswr y mae'r cleient yn ei ddefnyddio mewn gwirionedd, nid un cyhoeddus a brofwyd gennych o rywle arall.

Os yw'r log yn dangos y cyfeiriad newydd ac mae'r cysylltiad yn dal i fethu, mae'r broblem wedi symud: mae'r pecyn yn mynd i rywle ac nid oes neb yn ateb. Cwestiwn gwrandäwr, mur tan neu gyfeirio porthladd yw hwn, ac mae ar ochr y gweinydd yn hytrach nag ar lwybr datrysiad y cleient. Cadwch y ddau fethiant hynny ar wahân, oherwydd mae trin gwrandäwr anghyraeddadwy fel problem DNS yn eich gyru o amgylch yr un ddolen ddwywaith.

Gwybyddwch pa ailgychwyn rydych yn ei wneud

Nid yw pob ailgychwyn yn cadw'r un cyflwr, a dyna pam y gall newid cyfeiriad ymddwyn yn wahanol yn dibynnu ar sut mae'r broses yn cael ei hailgylchu. Mae ailgychwyn meddal a sbardunwyd gan signal yn cadw mwy o gyd-destun y sesiwn flaenorol, tra bod stopio a chychwyn llawn yn dechrau o'r ffurfweddiad eto. Os ydych yn profi a yw'r cleient yn ail-ddatrys, rydych am y llwybr sy'n dechrau o'r ffurfweddiad.

Mae gosodiadau parhaus yn bwysig hefyd, oherwydd fe'u cynlluniwyd i gadw'r hyn a ddilyswyd yn hytrach nag i ddilyn cyfeiriadau newydd.

Y prawf glanaf yw cychwyn o'r newydd o'r proffil a fwriadwyd, wedi'i ddilyn gan olwg ar y llinell log sy'n enwi'r pwynt terfyn. Mae unrhyw beth a ddysgwch o sesiwn a gadwyd yn rhannol yn ddatganiad am y sesiwn honno.

Y pedwar opsiwn a'u gwaith ar wahân

Mae remote gydag enw gwesteiwr yn y gosodiad sy'n gwneud ail-ddatrysiad yn bosibl o gwbl; mae cyfeiriad llythrennol ar y llinell honno yn ei eithrio. Mae resolv-retry yn rheoli beth sy'n digwydd pan fydd chwiliad yn methu, ac mae 2.6 eisoes yn ei osod yn anfeidrol yn y rhagosodiad. Felly nid yw ychwanegu ef yn newid dim, ac nid yw byth yn trefnu gwiriad cyfnodol am ateb gwahanol. Mae pwy bynnag sy'n dweud ei fod yn arolygu cyfeiriadau newydd wedi drysu adferiad ag awyru newydd.

Mae persist-remote-ip yn ymwneud â pharhad yn hytrach nag awyru newydd: mae'n ailddefnyddio'r pwynt terfyn a ddilyswyd ddiwethaf, ar draws yr ailgychwyniadau meddal y mae'n eu cefnogi. Wrth brofi symudiad, dyna'r gwrthwyneb i'r hyn rydych ei eisiau. Analluogwch ef ar gyfer y prawf os yw eich adeiladwaith yn ei alluogi, yna adferwch ef unwaith y bydd y pwynt terfyn newydd wedi'i brofi. Wedi'i adael ymlaen, efallai na fydd ailgysylltiad llwyddiannus yn dweud dim wrthych am DNS.

Mae float yn derbyn cymar dilys y newidiodd ei gyfeiriad yng nghanol sesiwn, a dim ond mewn trefniadau sy'n cefnogi hynny. Nid yw'n adnewyddu DNS, ac ni fydd yn dilyn newid darparwr ar ei ben ei hun. Triniwch ef fel nodwedd gwydnwch i gymdeithion sy'n crwydro, nid fel mecanwaith cyfeiriad deinamig i weinyddwyr.

Cadarnhewch y pwynt terfyn newydd cyn beio'r cleient

O'r tu allan i'ch rhwydwaith, gwiriwch fod gan y cyfeiriad newydd wrandäwr ar y porthladd a ffurfweddwyd a bod cyfeirio porthladd y darparwr yn pwyntio ato. Mae cofnod A cywir ar gyfer peiriant heb borthladd agored yn cynhyrchu'n union y symptom y mae pobl yn ei briodoli i storfa.

Yna ailgysylltwch a gwirio dwy beth: fod y cleient wedi dilysu yn erbyn tystysgrif gweinydd disgwyliedig, a bod y sesiwn yn cyrraedd yr adnodd a fwriadwyd gennych. Nid yw newid cyfeiriad yn gostwng y gofynion hunaniaeth, ac mae cysylltiad sy'n llwyddo i'r pwynt terfyn anghywir yn waeth nag un sy'n methu. Mae llawlyfr OpenVPN 2.6 yn rhestru'r pedwar opsiwn i gyd gyda'u cwmpas eu hunain, a dyna'r rhestr wirio i'w chadw wrth y proffil.

Cadwch ffordd all-rhwng i mewn i'r gweinydd cyn i chi ailgychwyn y tiwnel sy'n cario eich mynediad gweinyddol. Mae'r un rhagofal hwnnw'n atal y rhan fwyaf o'r digwyddiadau y mae'r senario hwn yn eu cynhyrchu.