route-gateway ei ole redirect-gateway: mis tegelikult muutub
See valik annab ainult järgmise hüppe marsruutidele, mille OpenVPN paigaldab. Selle eemaldamine ei lülita välja lükatud täistunnelit ja parandus kuulub ümbersuunamise juurde.
Teie tunnel tõuseb, privaatne alamsides vastab ja tavaline veebilehitsemine kaob ikkagi VPN-i, kuigi keegi kustutas profiilist lüüsi rea. See kombinatsioon on vale direktiivi muutmise sõrmejälg. Eemaldatu andis kliendile järgmise hüppe marsruutidele, mida see paigaldab; see, mis jätkas liikluse püüdmist, tuli mujalt ja server lükkas selle. Katvus ja järgmine hüpe on eraldi tööd ning ainult üks neist otsustab, kas avalikud sihtkohad kasutavad tunnelit.
Rida, mille eemaldasite, oli järgmine hüpe, mitte poliitika lüliti
Iga marsruut, mille klient paigaldab, vajab lüüsi aadressi, mille poole osutada, ja lüüsi direktiiv on selle aadressi allikas, kui marsruut ise ühtegi ei nimeta. Kustutage see ja neil marsruutidel pole millegi külge kinnituda, nii et need kas ei paigaldata või maanduvad teele, mis ei vii kuhugi. Privaatne alamsides on täpselt see, mida selline marsruut kandis.
Vahepeal on ellujäänud käitumisel teine autor: ümbersuunamisvalik lükatud plokis, mis liigutab tavalise väljuva liikluse vastavalt oma lippudele tunnelisse. Lüüsi eemaldamine ei lülita seda välja ega nõrgenda. Tulemus on mõlema oleku halvim: avalik liiklus on endiselt püütud ja tunnelit õigustanud privaatne sihtkoht on nüüd kättesaamatu. Seetõttu ei muuda ka teine muudatus, mis tehti samas vaimus, midagi.
Neli hooba, neli erinevat tööd
Selles arutelus tsiteeritakse nelja direktiivi vaheldumisi ja ainult üks neist juhib katvust, see tähendab, millised sihtkohad üldse tunnelist läbi suunatakse. Teine määrab järgmise hüppe, mida marsruudid kasutavad, kolmas paigaldab ühe prefiksi ja neljas viskab ära kõik, mille server lükkas, sealhulgas juurutuse jaoks vajalikud privaatsed marsruudid. Tabel järjestab need selle järgi, mida administraator muuta tahab, mitte nime järgi, sest just nimed tekitavad segadust. Käsitlege neid nelja eraldi otsusena ja valige see, mida te tegelikult tagasi pöörata soovite.
Praktikas saabuvad kõik neli sageli ühes lükatud plokis, rida rea järel, mis paneb need paistma ühe seadistuse osadena. Nad ei ole seda, ja OpenVPN-i teatmik dokumenteerib need just seetõttu erinevate mehhanismidena. Välja selgitada, millist otsust te tagasi pöörate, on töö; muudatus on üks rida.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Filtreerige lükatud rida, jätke järgmine hüpe alles
Kui katvus, millele te vastu vaidlete, saabub lükatud valikuna, on kitsas vastus see valik nime järgi eirata ja ülejäänud lükatud plokk puutumata jätta. Filtrina kirjutatult näeb see välja nagu allolev rida ja see kuulub mõjutatud kliendi profiili, mitte serveri konfiguratsiooni.
pull-filter ignore "redirect-gateway"Kitsus ongi mõte. Kuna filter võrdleb tekstilist prefiksit, sobib lühem muster ka järgmise hüppe direktiiviga, mis koorib täpselt selle teabe, millest privaatsed marsruudid sõltuvad, ja kordab algset viga uues kuues. Filter mõjub ka ainult lükatud valikutele, nii et see ei puuduta kunagi kohapeal kirjutatud või võrguhalduri poolt peale surutud samaväärset rida. Pärast seda ühendage uuesti, sest elav seanss ei hinda uuesti seda, mille server lükkas.
Lugege otsingut, mitte tabelit
Pärast profiili uuesti laadimist küsige kernellilt, kuhu kaks sihtkohta tegelikult läheksid: üks privaatse prefiksi sees ja üks avalikus internetis. Põhitabeli täielikku väljavõtet on raskem lugeda ja kergem valesti lugeda, sest marsruut võib eksisteerida ja siiski kaotada täpsemale vastele. Poliitikal põhineva marsruutimise korral kuuluvad kontrolli ka reegel, tabel ja lähteaadress.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showdef1 variant väärib tundmist, sest see jätab vana vaikekirje nähtavale, samal ajal kui paar pool-vaikimisi võidab otsingu. Seega ei tõesta 0.0.0.0/0 rida väljundis iseenesest midagi. Otsing vastab küsimusele, millele loend ainult näib vastavat.
DNS, IPv6 ja privaatne marsruut peavad endiselt töötama
Ühest IPv4 ümbersuunamisest keeldumine ei ütle resolveri kohta midagi, nii et lükatud DNS-valik võib jätkata päringute saatmist tunnelisse, samal ajal kui marsruudid näevad õiged välja. IPv6 vaikimisi võib teha sama aadressiperekonnale, mida IPv4 kontroll ei puudutanud. Mõlemad vajavad selget otsust, mitte oletust. Seejärel kinnitage, et privaatne teenus vastab endiselt, sest privaatse marsruudi kaotanud jaotatud tunnel ei ole jaotatud tunnel, vaid katkine.
Üks laiem tööriist väärib hoiatust: route-nopull viskab ära iga lükatud marsruudi ja iga lükatud DNS-valiku, mis kindlasti peatab täistunneli ja sama kindlasti lõhub privaatsed marsruudid, millest juurutus sõltub, nii et see on palju suurem haamer kui ühele valikule suunatud nimefilter. Kontrollige privaatset sihtkohta, avalikku sihtkohta ja resolverit pärast iga muudatust ning pidage lõpetatud kätlust tõendiks millestki muust kui kätlusest.