Mida bypass-dhcp tegelikult OpenVPN-i marsruudiplaanile lisab

redirect-gateway def1 bypass-dhcp sisaldav profiil ühendab IPv4 vaikimisi marsruudi tühistamise ühe kitsa erandiga. Inimesed loevad viimast sõna ja ootavad üldist lahendust mobiilsetele ühendustele, seejärel veedavad pärastlõuna DHCP-teooriaga, mida see lipp kunagi ei toetanud. Iga osa teeb ühte asja ja erand on oma mainest palju väiksem.

Võtke lipud lahti enne, kui omistate ainult mobiilivõrgus esineva tõrke aadresside määramisele. Selle stringi kaks poolt ei ole üksteisega mingis seoses.

Kaks lippu, kaks sõltumatut ülesannet

def1-ga lisab klient kaks IPv4 pool-vaikimisi marsruuti, selle asemel et asendada juba olemasolev vaikimisi marsruut. 0.0.0.0/1 katab aadressiruumi alumise poole ja 128.0.0.0/1 ülemise poole, nii et koos jõuavad need igasse sihtkohta, samal ajal kui kumbki jääb konkreetsemaks kui 0.0.0.0/0. Algne vaikimisi marsruut jääb seega tabelisse ilma neid otsinguid võitmata, mis hoiab vana lüüsi kättesaadavana kõigele, mida klient selgelt marsruudib. See jätab tabelisse ka kaks kattuvat vaikimisi marsruuti, mistõttu võib marsruutide väljund paista kummalisem, kui profiil vihjab.

bypass-dhcp on eraldi ega puuduta vaikimisi marsruuti üldse. OpenVPN 2.6 käsiraamat kirjeldab seda otsese marsruudi lisamisena DHCP-serverile, mis ei asu kohalikus alavõrgus, nii et rendiliiklus väljub väljaspool tunnelit, ja märgib, et see käitumine on rakendatud Windowsi klientides ning ei pruugi mujal saadaval olla.

Selle olemasolu põhjus on mehaaniline. Kui pool-vaikimisi marsruudid on väljuva liikluse kinni püüdnud, suunataks füüsilise võrgu serverile adresseeritud DHCP uuendus tunnelisse, kui miski ei kinnita seda aadressi tegeliku liidese külge. Lipp kinnitab selle.

Millega erand tegelikult piirdub

Näidistabel pärast edukat ühendust näitab kuju: kaks pool-vaikimisi marsruuti läbi tunnel ja üks hostimarsruut DHCP-serverile läbi füüsilise lüüsi. Lugege seda kujuna, mitte oma aadressidena.

0.0.0.0/1        via 10.8.0.1      dev tun0
128.0.0.0/1      via 10.8.0.1      dev tun0
192.168.1.1/32   via 192.168.1.254 dev wlan0

See kolmas rida nimetab ühte sihtkohta. See ei ole resolveri seade, mitte üldine luba kohalikule võrgule ega serveri väljumisreegel. Mobiilsideoperaatori telefonil ei pruugi olla DHCP-serverit, mille klient nii tuvastada saaks, mistõttu lipp seal midagi ei muuda.

Kontrollige, mida klient tegelikult paigaldas

Eristage profiili kirjutatud valikut, serveri pakutud valikut ja marsruuti, mille ühenduse omanik tegelikult rakendas. Klient, kes keeldub toetamata lipust, võib ülejäänud konfiguratsiooni alles jätta, nii et tunnel tõuseb ja erand lihtsalt puudub. Lugege kliendi enda logi ja tulemuseks olevat marsruutimistabelit, selle asemel et eeldada, et faili rida hakkas kehtima. Kolm neist võivad olla korraga tõesed ja ainult viimane muudab, kuhu paketid tegelikult lähevad.

Hoidke marsruut VPN-i lõpp-punktini samal ajal kasutatavana. See lõpp-punkti erand on DHCP erandist erinev nõue ja ilma selleta võib tunnel haarata transpordi, mis teda ülal hoiab.

Rakenduse sihtkoha puhul uurige tegelikku otsingut kontekstis, kus see ebaõnnestub. Konkreetsemad kohalikud marsruudid, poliitikapõhine marsruutimine ja rakendusepõhised välistused muudavad kõik vastust, seega ei ole kahe pool-vaikimisi marsruudi olemasolu iga voo loend.

Ülejäänud tee ei ole selles lipus

Server vajab endiselt luba kliendi internetiliikluse edastamiseks ja väljumiskorraldust, mis suudab selle tagasi saata. Ükski kliendipoolne marsruut ei loo serverile puuduvat edastamist ega lähteaddressi tõlget ja ükski lipp ei asenda töötavat tagasiteed.

Nimelahendus ja IPv6 vajavad kumbki oma poliitikat. IPv4 tühistamine ei suuna resolverit tunneli poolsele serverile ega loo IPv6 katet, ja klient, mis suunab ümber ainult v4, jätab v6 tee puutumata.

Võrrelge üht heakskiidetud kahjutut päringut töötaval ja tõrkuval juurdepääsuteel, hoides profiili ja sihtkohta muutumatuna. Kirjutage üles, kas erinevus on nimelahenduses, tunneli loomises, marsruudi valikus või edastatud liikluses, ja hoidke vastus profiili juures. Just see kirje takistab järgmisel inimesel DHCP-d süüdistada probleemis, milleni see ei ulatu.