VPN kolis: miks teie OpenVPN klient valib endiselt vana IP

Teenusepakkuja muutis teie avalikku aadressi, te uuendasite dünaamilist DNS-kirjet ja klient ei saa ikka ühendust. Väljast näib, nagu kirje poleks levinud. Enamasti on kirje korras ja klient helistab aadressile, mille see enne kolimist lahendas, sest töötaval tunnelil ja salvestatud profiilil on kummalgi oma ettekujutus sellest, kus server elab. Kolm kihti peavad nõustuma ja need uuenevad erinevate graafikute järgi.

Vaadake, millele profiil helistab, mitte mida DNS ütleb

Avage ühendus, mida tegelikult kasutate, ja lugege remote-rida. Sealne numbriline aadress ei järgi kunagi hostinime uuendust, ükskõik kui õigeks kirje saab.

Seejärel kontrollige, kas profiil, mida muutsite, on see, mille klient laadis. Imporditud profiilid on tavalised: haldaja võis kuid tagasi koopia teha ja oma versiooni hoida, nii et fail teie allalaadimiste kaustas ja rakenduse kirje võivad erineda. Võrrelge lõpp-punkti kliendi enda ühenduse üksikasjades, enne kui üldse DNS-i siluma hakkate.

Kaks faili, üks lõpp-punkt — see on siin tavaline leid.

grep -nE '^remote|^resolv-retry|^persist-remote-ip|^float' client.ovpn
printf 'resolver says: '; dig +short vpn.example.net

Lugege kliendi järgmist ühenduskatse

Taaskäivitage ühendus üksikasjaliku logimisega ja lugege rida, kus nimetatakse aadress, millega see ühendust võtab. Just see väärtus loeb, mitte see, mille teie brauser lahendas.

Resolveri vahemälu võib endiselt eelmist vastust hoida ja mõned võrgud hoiavad seda kauem, kui kirje TTL nõuab. Küsige resolverit, mida klient tegelikult kasutab, mitte avalikku, mida testisite mujalt.

Kui logi näitab uut aadressi ja ühendus ikka ei õnnestu, on probleem liikunud: pakett läheb kuhugi ja keegi ei vasta. See on kuulaja, tulemüüri või pordiedastuse küsimus ja see asub serveri poolel, mitte kliendi lahendusteel. Hoidke need kaks tõrget lahus, sest kättesaamatu kuulaja käsitlemine DNS-probleemina viib teid samast ahelast kaks korda läbi.

Tea, millist taaskäivitust te teete

Kõik taaskäivitused ei säilita sama olekut, mistõttu võib aadressi muutus käituda erinevalt sõltuvalt sellest, kuidas protsessi ringlusse võetakse. Signaali käivitatud pehme taaskäivitus säilitab rohkem eelmise sessiooni konteksti, samas kui täielik seiskamine ja käivitamine algab uuesti konfiguratsioonist. Kui testite, kas klient lahendab uuesti, tahate teed, mis algab konfiguratsioonist.

Püsivuse seaded on samuti olulised, sest need on mõeldud autenditu hoidmiseks, mitte uute aadresside tagaajamiseks.

Puhtaim test on värske käivitus kavandatud profiilist, millele järgneb pilk logireale, mis nimetab lõpp-punkti. Kõik, mida õpite osaliselt säilinud sessioonist, on väide selle sessiooni kohta.

Neli valikut ja nende eraldi ülesanded

Hostinimega remote on seade, mis teeb uuesti lahendamise üldse võimalikuks; sellel real olev otsene aadress välistab selle. resolv-retry juhib seda, mis juhtub otsingu ebaõnnestumisel, ja 2.6 seab selle juba vaikimisi lõpmatuks. Selle lisamine ei muuda seega midagi ja see ei planeeri kunagi perioodilist kontrolli teistsuguse vastuse jaoks. Kes ütleb, et see küsitleb uusi aadresse, on ajanud taastamise segi värskusega.

persist-remote-ip on järjepidevuse, mitte värskuse teema: see kasutab uuesti lõpp-punkti, mis viimati autentis, läbi pehmete taaskäivituste, mida see toetab. Kolimise testimise ajal on see vastupidine sellele, mida tahate. Keelake see testiks, kui teie ehitus selle lubab, ja taastage, kui uus lõpp-punkt on tõestatud. Sisselülitatuks jäetuna ei pruugi edukas taasühendus DNS-i kohta midagi öelda.

float võtab vastu autenditud partneri, kelle aadress muutus keset sessiooni, ja ainult seadetes, mis seda toetavad. See ei värskenda DNS-i ega järgi teenusepakkuja muutust ise. Käsitlege seda vastupidavusfunktsioonina rändavatele partneritele, mitte dünaamiliste aadresside mehhanismina serveritele.

Kinnitage uus lõpp-punkt enne, kui klienti süüdistate

Väljaspool oma võrku kontrollige, kas uuel aadressil on konfigureeritud pordil kuulaja ja kas teenusepakkuja edastus osutab sellele. Õige A-kirje masinale, millel pole avatud porti, tekitab täpselt selle sümptomi, mille inimesed vahemälule omistavad.

Seejärel ühenduge uuesti ja kontrollige kahte asja: klient autentis oodatud serverisertifikaadi vastu ja sessioon jõuab ressursini, mida kavatsesite. Aadressi muutus ei alanda identiteedinõudeid ja ühendus, mis õnnestub vale lõpp-punkti vastu, on hullem kui see, mis ebaõnnestub. OpenVPN 2.6 käsiraamat loetleb kõik neli valikut oma ulatusega ja see on kontrollnimekiri, mida hoida profiili kõrval.

Hoidke serverile välisriba tee enne, kui taaskäivitate tunneli, mis kannab teie haldusjuurdepääsu. See üks ettevaatusabinõu hoiab ära enamiku juhtumeid, mida see stsenaarium tekitab.