Οι εισαγόμενες διαδρομές VPN διαφέρουν από τον πελάτη που λειτουργεί; Συγκρίνετε και τους δύο

Κάποιες ιδιωτικές υπηρεσίες απαντούν μέσω του VPN, ενώ η συνηθισμένη κίνηση internet συμπεριφέρεται τελείως διαφορετικά από ό,τι στον υπολογιστή ενός συναδέλφου, και ο πειρασμός είναι να συμπεράνεις ότι ο πελάτης Ubuntu είναι χαλασμένος. Αυτό το συμπέρασμα παραλείπει ένα βήμα. Μια λειτουργική ιδιωτική λειτουργία και μια διαφορετική δημόσια διαδρομή είναι δύο παρατηρήσεις, και η διαφορά συνήθως βρίσκεται στην πολιτική κίνησης που εγκατέστησε κάθε πελάτης, όχι στον ίδιο τον πελάτη.

Η σύγκριση της αποθηκευμένης ρύθμισης με την πραγματική κατάσταση δικτύου απαιτεί τρεις εντολές και απαντά στο ερώτημα που προσπαθούσε να απαντήσει η εικασία.

Πρώτα το αποθηκευμένο προφίλ, μετά η πραγματική κατάσταση

Μια εισαγόμενη σύνδεση OpenVPN γίνεται δικό της προφίλ NetworkManager. Το αρχείο .ovpn από το οποίο προήλθε παύει να είναι πηγή αλήθειας τη στιγμή που ολοκληρώνεται η εισαγωγή, οπότε η μεταγενέστερη επεξεργασία εκείνου του αρχείου δεν αλλάζει τίποτα στη σύνδεση που χρησιμοποιείτε. Εδώ η σύγκριση πάει πρώτη φορά στραβά, και πάει στραβά σιωπηλά.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Διαβάστε το UUID όταν τα ονόματα συγκρούονται· τα διπλά ονόματα επιβιώνουν από επανεγκαταστάσεις και επαναφορές προφίλ, και μπορείτε να περάσετε μια ώρα επεξεργάζοντας το αντίγραφο που δεν χρησιμοποιείται. Οι τιμές που βλέπετε περιγράφουν την αποθηκευμένη πρόθεση· αν το προφίλ επιτρέπεται να πάρει την προεπιλεγμένη διαδρομή, ποιες διαδρομές αποθηκεύτηκαν και ποιους διακομιστές επίλυσης και τομείς αναζήτησης ζητά. Δεν περιγράφουν τι συνέβη όταν ενεργοποιήθηκε η σύνδεση, επειδή μια προσθήκη ή μια ώθηση από τον διακομιστή μπορεί να προσθέσει κατάσταση που το προφίλ δεν αναφέρει. Γι' αυτό έχει σημασία η επόμενη εντολή.

Έπειτα δείτε τι έκανε πραγματικά το σύστημα με αυτή την πρόθεση, συμπεριλαμβανομένων των κανόνων πολιτικής και όλων των πινάκων, όχι μόνο του κύριου. Οι αποθηκευμένες ιδιότητες είναι είσοδοι, και οι εγκατεστημένοι πίνακες είναι το αποτέλεσμα.

ip -4 rule show
ip -4 route show table all

Δύο προορισμοί, μία σύγκριση

Διαλέξτε έναν ιδιωτικό προορισμό που λειτουργεί και έναν συνηθισμένο δημόσιο προορισμό, και μετά ρωτήστε τον πυρήνα ποια διαδρομή θα έπαιρνε ο καθένας. Η εκτέλεση αυτού και στα δύο μηχανήματα είναι που μετατρέπει μια αόριστη διαφορά σε συγκεκριμένη.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Οι διευθύνσεις είναι παραδείγματα για να τις αντικαταστήσετε με τις δικές σας· το ζητούμενο είναι το ζεύγος, όχι οι αριθμοί. Συγκρίνετε τη διεπαφή, τη διεύθυνση προέλευσης και τον πίνακα που αναφέρεται σε κάθε έξοδο. Όταν η ιδιωτική αναζήτηση ονομάζει τη σήραγγα και η δημόσια αναζήτηση ονομάζει επίσης τη σήραγγα, έχετε πλήρη σήραγγα και ο άλλος πελάτης μπορεί να έχει διαχωρισμένη, ή το αντίστροφο.

Μην απαιτείτε από τους δύο πελάτες να τυπώνουν πανομοιότυπο κείμενο. Στο OpenVPN το redirect-gateway def1 συνήθως εκφράζεται ως δύο διαδρομές μισού προθέματος αντί για μία προεπιλεγμένη, και ένας διαχειριστής που τις εμφανίζει διαφορετικά δεν είναι γι' αυτό λανθασμένος. Κρίνετε την κάλυψη, που δείχνουν οι αναζητήσεις, όχι τη μορφοποίηση.

Πού διαφέρουν νόμιμα οι δύο πελάτες

Οι προεπιλογές του πελάτη είναι επιλογές πολιτικής και επιτρέπεται να διαφωνούν. Ένα προϊόν μπορεί να προτιμά πλήρη σήραγγα, ένα άλλο μπορεί να κρατά την τοπική προεπιλογή και να δρομολογεί μόνο τα ιδιωτικά προθέματα, και ένα τρίτο μπορεί να ακολουθεί ό,τι έστειλε ο διακομιστής. Μια διαφορά είναι ελάττωμα μόνο όταν αντιφάσκει με την απαίτηση που σας δόθηκε.

Συγκρίνετε λοιπόν κάθε πελάτη με την εγκεκριμένη πρόθεση διαχωρισμένης ή πλήρους σήραγγας, όχι μεταξύ τους. Αν η απαίτηση είναι η ιδιωτική κίνηση να χρησιμοποιεί τη σήραγγα και η τοπική διαδρομή internet να παραμένει τοπική, τότε η πλήρης σήραγγα είναι το σφάλμα και η διαχωρισμένη σήραγγα είναι σωστή, ανεξάρτητα από το ποιος πελάτης έκανε τι. Γράψτε την πρόθεση πριν κοιτάξετε οποιαδήποτε ρύθμιση, αλλιώς ο πρώτος πελάτης που θα εξετάσετε γίνεται σιωπηλά το πρότυπο.

Το DNS είναι δεύτερος άξονας και αποτυγχάνει ανεξάρτητα. Μια σωστή διαδρομή μπορεί ακόμη να στέλνει ερωτήματα σε έναν διακομιστή επίλυσης που δεν μπορεί να απαντήσει για την ιδιωτική ζώνη, και ένας σωστός διακομιστής επίλυσης δεν διορθώνει μια λανθασμένη διαδρομή. Ελέγξτε και τα δύο, και θεωρήστε ένα ιδιωτικό όνομα που επιλύεται ενώ μια ιδιωτική διεύθυνση δεν επιλύεται ως απόδειξη ότι τα δύο επίπεδα λύνονται χωριστά.

Κρατήστε τη σύγκριση καθαρή

Εκτελέστε έναν ιδιοκτήτη σύνδεσης κάθε φορά. Μια συνεδρία OpenVPN από τη γραμμή εντολών που τρέχει δίπλα στο εισαγόμενο προφίλ εγκαθιστά τις δικές της διαδρομές και τη δική της κατάσταση διακομιστή επίλυσης, και το μείγμα που προκύπτει δεν είναι η συμπεριφορά κανενός από τους δύο πελάτες. Τερματίστε τη μία πριν μετρήσετε την άλλη. Κάντε επανεκκίνηση αν δεν είστε σίγουροι τι κρατά ακόμη κατάσταση, επειδή μια παλιά διαδρομή μιας ώρας θα μοιάζει ακριβώς με πρόβλημα πολιτικής.

Κρατήστε σταθερά και όλα τα άλλα· το ίδιο τελικό σημείο, τον ίδιο λογαριασμό, τις ίδιες εκδόσεις λογισμικού, το ίδιο δίκτυο. Μια επιτυχία στο φορητό Windows ενός συναδέλφου δοκιμάζει διαφορετικό πελάτη, διαφορετική ενσωμάτωση διακομιστή επίλυσης και ίσως διαφορετικό προφίλ διακομιστή, οπότε δεν είναι απόδειξη για τον διαχειριστή του Ubuntu.

Η αναφορά ρυθμίσεων IPv4 του NetworkManager ορίζει με ακρίβεια το never-default και τις αποθηκευμένες ιδιότητες διαδρομών, κάτι που αξίζει να διαβάσετε πριν αλλάξετε μια διαχειριζόμενη τιμή. Και θυμηθείτε το εύρος αυτής της σύγκρισης· καλύπτει το IPv4 και δεν λέει τίποτα για την αντίστοιχη πολιτική IPv6, που έχει τις δικές της προεπιλογές και τον δικό της τρόπο να σας εκπλήξει.