Το OpenVPN εξακολουθεί να σπρώχνει παλιές διαδρομές; Δείτε τι φόρτωσε

Προσθέτετε μια διαδρομή, επανεκκινείτε την υπηρεσία, επανασυνδέεστε και ο πίνακας του πελάτη μοιάζει ακριβώς όπως πριν. Δύο διαφορετικά πράγματα μπορεί να ισχύουν: ο διακομιστής δεν φόρτωσε ποτέ την αλλαγή σας ή ο πελάτης δεν εγκατέστησε ποτέ αυτό που έλαβε. Το μόνο κοινό τους είναι το σύμπτωμα, γι' αυτό το πρώτο βήμα είναι να βρείτε ποια από τις δύο περιπτώσεις έχετε.

Η σύγκριση παρακάτω πηγαίνει από τη διεργασία προς τα έξω, επειδή η διεργασία είναι η μόνη αρχή για το ποιο αρχείο ισχύει.

Το αρχείο που επεξεργαστήκατε και το αρχείο που διαβάζει η διεργασία

Ξεκινήστε από τη μονάδα και τη γραμμή εντολών που παρήγαγε. Σε κεντρικό υπολογιστή με systemd, το systemctl cat openvpn@server εκτυπώνει τη γραμμή ExecStart, και μια μονάδα στιγμιοτύπου συνήθως παράγει τη διαδρομή διαμόρφωσης από το όνομα του στιγμιοτύπου, οπότε ένας δαίμονας που ξεκίνησε ως openvpn@office διαβάζει διαφορετικό αρχείο από έναν που ξεκίνησε ως openvpn@server. Συγκρίνετε το με το argv της διεργασίας που εκτελείται. Ένα εργαλείο διαχείρισης διαμόρφωσης προσθέτει άλλον έναν τρόπο να χαθεί η αλλαγή: μπορεί να γράψει σωστό αρχείο σε θέση που η μονάδα δεν αναφέρει ποτέ, και τότε μια επιτυχής ανάπτυξη μοιάζει με το τίποτα.

Οι χρονικές σημάνσεις το λύνουν γρήγορα: αν το αρχείο είναι νεότερο από την ώρα έναρξης της διεργασίας, η διεργασία δεν μπορεί να το είχε διαβάσει. Το firmware του δρομολογητή προσθέτει μια τρίτη περίπτωση, γιατί πολλά μοντέλα κρατούν τις ρυθμίσεις στη flash και ξαναχτίζουν τη διαμόρφωση κατά την εκκίνηση, κάτι που κάνει την επεξεργασία αρχείου στον δίσκο εντελώς λάθος επίπεδο.

Τι σπρώχνει ο διακομιστής και τι εγκαθιστά ο πελάτης

Μια διαδρομή που σπρώχτηκε πρέπει να περάσει δύο φίλτρα. Στον διακομιστή πρέπει να βρίσκεται στη φορτωμένη διαμόρφωση, όχι σε σχολιασμένο μπλοκ ούτε σε αρχείο ειδικό για πελάτη του οποίου το όνομα δεν ταιριάζει. Στον πελάτη πρέπει να είναι ενεργό το pull και κανένα pull-filter να μην πετάει την επιλογή. Συνδεθείτε με verbosity 4 και διαβάστε τις επιλογές που σπρώχτηκαν και αναφέρει ο πελάτης: αν η διαδρομή εμφανίζεται σε αυτή τη λίστα, ο διακομιστής έκανε τη δουλειά του και ο πελάτης επιλέγει να μην την εγκαταστήσει.

Τα αρχεία ειδικά για πελάτη είναι συχνή πηγή σύγχυσης. Ένα αρχείο που ονομάζεται από το common name του πιστοποιητικού σπρώχνει επιλογές μόνο σε εκείνον τον πελάτη, και μια διαφορά ενός χαρακτήρα σταματά το σπρώξιμο σιωπηλά, χωρίς σφάλμα σε καμία πλευρά. Ο διακομιστής καταγράφει το common name που είδε κατά τη σύνδεση, γι' αυτό συγκρίνετε αυτή την τιμή με το όνομα του αρχείου και όχι με το τι νομίζετε ότι λέγεται ο πελάτης.

Το πρόθεμα που σπρώχτηκε και η διαδρομή επιστροφής είναι διαφορετικά προβλήματα

Ένας πελάτης που αγνοεί σκόπιμα το redirect-gateway για να κρατήσει την τοπική του διαδρομή προς το διαδίκτυο δημιουργεί ένα δεύτερο, άσχετο κενό. Οι ανιχνεύσεις του διακομιστή φτάνουν στη διεύθυνση της σήραγγας και οι απαντήσεις δεν φτάνουν ποτέ, γιατί μια απάντηση προς τη διεύθυνση IP της σήραγγας του διακομιστή δρομολογείται μέσω της συνηθισμένης προεπιλεγμένης πύλης του πελάτη. Η διαδρομή υποδικτύου που σπρώχτηκε δεν φταίει εδώ· αυτό που λείπει είναι μια διαδρομή που στέλνει την κίνηση για το δίκτυο σήραγγας του διακομιστή πίσω από τη συσκευή σήραγγας.

Η προσθήκη αυτής της διαδρομής στον πελάτη διορθώνει τις απαντήσεις στις ανιχνεύσεις που ξεκινά ο διακομιστής. Δεν αντικαθιστά τη διαδρομή υποδικτύου που σπρώχτηκε, και ισχύει και το αντίστροφο, γιατί οι δύο περιγράφουν αντίθετες κατευθύνσεις κίνησης.

Συγκρίνετε τους πίνακες στα δύο άκρα

Μετά από κάθε αλλαγή, επανασυνδεθείτε και διαβάστε τον πίνακα του πελάτη για το πρόθεμα που σπρώχτηκε και για τη συσκευή σήραγγας. Έπειτα δοκιμάστε και προς τις δύο κατευθύνσεις: από τον πελάτη σε έναν κεντρικό υπολογιστή στο υποδίκτυο που σπρώχτηκε και από εκείνον τον κεντρικό υπολογιστή πίσω στον πελάτη. Μια διαδρομή που υπάρχει αλλά δεν μεταφέρει κίνηση σημαίνει ένα από τρία πράγματα: η απέναντι πλευρά δεν προωθεί, ένα τείχος προστασίας ρίχνει τη ροή ή η απάντηση δεν έχει δρόμο επιστροφής.

Κρατήστε τρία αναγνωριστικά μαζί: τη διαδρομή διαμόρφωσης, το όνομα της μονάδας ή του στιγμιοτύπου και την ταυτότητα πελάτη με την οποία δοκιμάσατε.

Αυτά τα τρία κάνουν το επόμενο περιστατικό έλεγχο πέντε λεπτών αντί για άλλη μια διερεύνηση, και είναι ό,τι χρειάζεται ένας συνάδελφος όταν η σήραγγα γίνεται πρόβλημα κάποιου άλλου.

Ένα πρόβλημα διαδρομών που επιβιώνει από επανεκκίνηση συχνά δεν είναι καθόλου πρόβλημα δρομολόγησης· το σφάλμα βρίσκεται πιο πάνω από τον πίνακα που διαβάζετε συνέχεια.