Οι προωθημένες διαδρομές του OpenVPN δεν εγκαθίστανται: χρονισμός, δικαιώματα ή πολιτική

Ο διακομιστής λέει ότι ώθησε τη διαδρομή, ο πελάτης λέει ότι είναι συνδεδεμένος, και ο προορισμός παραμένει απροσπέλαστος. Τρία αίτια παράγουν ακριβώς αυτή την εικόνα. Η προσθήκη της διαδρομής έτρεξε πριν υπάρξει η συσκευή, ο πελάτης δεν είχε τα δικαιώματα να αλλάξει τον πίνακα, ή μια πολιτική είπε στον πελάτη να αγνοήσει τις προωθημένες επιλογές.

Εξωτερικά μοιάζουν ίδιες και απαιτούν διαφορετικές διορθώσεις. Διαβάστε το αρχείο καταγραφής του πελάτη στο σημείο όπου λαμβάνεται η απόφαση για τη διαδρομή.

Αποδείξτε ότι η διαδρομή λείπει, όχι απλώς ότι είναι χαλασμένη

Ξεκινήστε αποδεικνύοντας ότι η διαδρομή λείπει και δεν είναι χαλασμένη. Στο Linux, το ip route show dev tun0 απαριθμεί ό,τι εγκατέστησε ο πελάτης στη συσκευή σήραγγας. Στα Windows, το route print ή το Get-NetRoute δείχνει το ίδιο σε μορφή πίνακα.

Μια διαδρομή που υπάρχει αλλά δεν προωθεί κίνηση είναι άλλο πρόβλημα. Αυτό μεταφέρει την έρευνα στους κανόνες προώθησης και τείχους προστασίας, όχι στην εγκατάσταση της διαδρομής.

Χρονισμός: η προσθήκη έτρεξε πριν υπάρξει η συσκευή

Ο πελάτης αναλύει το PUSH_REPLY του διακομιστή αφού ανέβει το κανάλι ελέγχου και αφού έχει ρυθμίσει τη διεπαφή. Μόνο τότε αγγίζει τον πίνακα δρομολόγησης, με όποιον μηχανισμό παρέχει η πλατφόρμα. Το Linux περνά από το netlink, τα Windows χρησιμοποιούν ένα API που απαιτεί αναβαθμισμένο διακριτικό. Ένα σενάριο ή ένας πελάτης που προσθέτει διαδρομές μόλις διαβάσει τη διαμόρφωση μπορεί να τρέξει πριν υπάρξει η συσκευή TUN/TAP, και ο πυρήνας απορρίπτει την προσθήκη.

Ο ίδιος αγώνας εξηγεί γιατί μια χειροκίνητη διαδρομή λειτουργεί ενώ η αυτόματη όχι: όταν την πληκτρολογείτε, η διεπαφή έχει ήδη ανέβει.

Το route-delay υπάρχει για αυτή την περίπτωση, και το route-up ονομάζει ένα σενάριο που εκτελείται αφού ρυθμιστούν η διεπαφή και οι διαδρομές. Βάλτε τις διαδρομές που εξαρτώνται από τη διεύθυνση της σήραγγας σε αυτό το άγκιστρο και όχι σε πρώιμο στάδιο.

Δικαιώματα: ποιος επιτρέπεται να αλλάξει τον πίνακα

Η αλλαγή του πίνακα δρομολόγησης των Windows απαιτεί αναβαθμισμένο διακριτικό. Ένα GUI που ξεκίνησε ένας τυπικός χρήστης μπορεί να ορίσει τη διεύθυνση του προσαρμογέα μέσω της υπηρεσίας και παρόλα αυτά να μην μπορεί να προσθέσει διαδρομή. Το αρχείο καταγραφής τότε δείχνει σφάλμα τύπου άρνησης πρόσβασης αντί για ώθηση που λείπει.

Η εκκίνηση του GUI ως διαχειριστής, ή η χρήση του πελάτη που βασίζεται σε υπηρεσία, αλλάζει αυτό το αποτέλεσμα. Μια προγραμματισμένη εργασία που εκκινεί τον πελάτη χωρίς το απαιτούμενο διακριτικό δεν το αλλάζει.

Ελέγξτε με ποιον λογαριασμό εκτελείται πραγματικά ο πελάτης πριν αλλάξετε οτιδήποτε. Η έκδοση και η λειτουργία υπηρεσίας καθορίζουν ποια αίτια είναι καν δυνατά, οπότε καταγράψτε και τα δύο δίπλα στην έξοδο της διαδρομής.

Πολιτική: οι προωθημένες διαδρομές μπορούν να απορριφθούν σκόπιμα

Το route-nopull κάνει τον πελάτη να αγνοεί τις διαδρομές που ωθεί ο διακομιστής, συμπεριλαμβανομένης μιας προωθημένης προεπιλεγμένης διαδρομής, ενώ η διεύθυνση της σήραγγας εξακολουθεί να γίνεται δεκτή. Οι προωθημένες επιλογές DNS και DHCP απορρίπτονται από την ίδια οδηγία. Ένας τέτοιος πελάτης δεν είναι ελαττωματικός, περιμένει ρητές γραμμές διαδρομών στη δική του διαμόρφωση.

Το route-noexec είναι διαφορετικός έλεγχος: σταματά εντελώς τον πελάτη από το να εκτελεί αλλαγές διαδρομών. Μια τοπολογία που ο πελάτης δεν μπορεί να αντιστοιχίσει μπορεί να δώσει παρόμοιο αποτέλεσμα, με τη διαδρομή να καταγράφεται ως απορριφθείσα και όχι ως προστιθέμενη. Διαβάστε τη γραμμή καταγραφής που αναφέρει την απόφαση αντί να μαντεύετε ποιο από τα τρία ισχύει. Έπειτα ελέγξτε το ενεργό προφίλ, γιατί ένας εισαγωγέας ή ένα εργαλείο διαχείρισης μπορεί να προσθέσει επιλογές που ο χρήστης δεν επεξεργάστηκε ποτέ.

Ένα προφίλ που φαίνεται καθαρό σε έναν επεξεργαστή κειμένου μπορεί να φέρει προστιθέμενη οδηγία κατά την εκτέλεση.

Συγκρίνετε τη λίστα ώθησης με τον πίνακα

Μετά τη σύνδεση, βάλτε τη λίστα ώθησης του διακομιστή δίπλα στον πίνακα του πελάτη. Στο Linux αυτό είναι το ip route show dev tun0, στα Windows το route print ή το Get-NetRoute. Αν η διαδρομή λείπει, διορθώστε πρώτα την εγκατάσταση. Αν υπάρχει και η κίνηση αποτυγχάνει, προχωρήστε στην πολιτική προώθησης και τείχους προστασίας.

Καταγράψτε την έκδοση του πελάτη, τον λογαριασμό με τον οποίο εκτελείται και αν βασίζεται σε υπηρεσία. Αυτά τα τρία γεγονότα λένε στον επόμενο ποια αίτια αποκλείστηκαν.