Kuhu kuulub marsruut OpenVPN-is: kliendile või serverile?
Paljas marsruut serveri konfiguratsioonis muudab serverit, mitte klienti. Valige kliendifail, globaalne push või ühe kliendi push ja kontrollige, mis kohale jõudis.
Lisate route 10.60.0.0 255.255.255.0 serveri konfiguratsiooni, taaskäivitate, ühendate sülearvuti uuesti ja alamvõrk on sellest sülearvutist endiselt kättesaamatu. Rida võeti vastu, teenus käivitus puhtalt ja logis ei paista miski valesti olevat. Juhtus see, et marsruut paigaldati masinale, mida te muutsite: lüüs arvab nüüd, et suudab selle eesliiteni jõuda, samal ajal kui kliendile ei öeldud midagi. Paigutus on kogu küsimus ja on neli kohta, kus sama rida saab elada.
Neli kohta ja kes igaühe vastu võtab
Marsruudi saab lisada kliendi enda konfiguratsiooniga, pakkuda igale kliendile globaalse pushiga, pakkuda ühele kliendile kliendipõhise failiga või kirjutada serveri enda marsruutimiskonteksti.
Need neli juhtumit kasutavad peaaegu identset süntaksit ja annavad täiesti erinevaid tulemusi. Esimesed kolm mõjutavad, mida klient tunnelisse saadab; neljas mõjutab seda, kuidas server võrku jõuab, mis on kasulik siis, kui serveril endal on teed vaja, ja kahjulik siis, kui seda aetakse segi jagamisega.
Otsustage, millist neljast soovite, enne kui rea kirjutate, ja kinnitage seejärel vastuvõtja.
| Placement | Effect | Receiver |
|---|---|---|
| Client profile route | Installed by the client at connect | That client only |
Global push "route ..." | Sent to every client that accepts pushed options | All pulling clients |
| Client-specific push | Sent to the matching client context | One identity |
| Server config route, no push | Added to the server's own table | The gateway itself |
Miks paljas serveri marsruut inimesi üllatab
Serveri konfiguratsioon on esimene koht, kuhu administraatorid vaatavad, ja marsruudidirektiiv seal loetakse VPN-võrgu kohta käiva väitena. See pole nii. OpenVPN käsitleb seda kohaliku marsruudi paigaldusena masinal, kus deemon töötab, mis on täpselt sama liiki muudatus, mille teeksite käsuga ip route ja seejärel unustaksite.
Jagamine nõuab, et marsruut lükataks pushiga, ja push nõuab, et klient selle tõmbaks. Tõmmatud valikud välja lülitatud kujul käivitatud klient eirab pakkumist täielikult. Kontrollige selle käepigistuse mõlemat otsa enne serverifaili ümberkirjutamist, sest serveri logi ei kaeble: tema poolt saadeti pakkumine ära. Vastuvõetud marsruut jõustub ka ainult järgmisel ühendusel, mitte kunagi sessioonis, milles te juba olete.
Kui näete neid kahte eraldi toiminguna, lakkab tõrge olemast mõistatuslik: server jõuab eesliiteni, klient ei jõua, ja mõlemad väited on korraga tõesed.
Kliendipõhised failid ja identiteet, millega need sobivad
Kliendipõhine fail nimetatakse identiteedi järgi, mille server autentis, mis vaikimisi on sertifikaadi üldnimi. Sõbralik ühenduse nimi töölauakliendis ei ole see väärtus, ja sobimatus tekitab faili, mida kunagi ei loeta.
Kontrollige kataloogi, mida server tegelikult kasutab, ja kinnitage seejärel, et failinimi vastab autenditud identiteedile täpselt, sealhulgas suur- ja väiketähed.
grep -n 'client-config-dir' /etc/openvpn/server/server.conf
ls -l /etc/openvpn/ccd/Selle faili sees tuleb marsruut siiski pushida, sest kliendipõhine kontekst on valikute kogum, mida rakendatakse selle kliendi sessioonile, mitte kohalik marsruutimistabel. Paljas marsruut seal on sama probleemiga nagu paljas marsruut globaalses failis.
Kliendi enda fail ja tööriist, mis seda omab
Kliendi konfiguratsiooni pandud marsruut paigaldatakse selle kliendi ühendamisel ja eemaldatakse lahtiühendamisel, mis on staatilise sihtkoha jaoks õige elutsükkel.
Kui profiili omab võrguhaldur, võib see need valikud üks kord importida ja seejärel hoida oma koopiat. Allalaaditud faili hilisem muutmine ei muuda midagi, mis on sagedane põhjus fraasile "marsruut on olemas, aga ei kehti".
Kontrollige aktiivset profiili, mitte faili, mille alla laadisite, ja kontrollige imporditud seadeid, mida haldur näitab. Seejärel ühenduge ja küsige süsteemilt, millist teed konkreetne aadress kasutab, selle asemel et eeldada, et tunnel võitis, sest marsruut oli tekstifailis.
Kontrollige kliendil ja seejärel kontrollige tagasiteed
Küsige sihtkoha kohta kliendi enda marsruutimistabelist, mitte serveri omast. Otsing ühe hosti järele eesliite sees on piisav, et näidata liidest ja järgmist hüpet, mida kasutatakse.
ip route get 10.60.0.10Kui otsing osutab tunnelile, toimis jagamine ja ülejäänud probleem on mujal. Kui see osutab vaikelüüsile, ei paigaldatud marsruuti, see filtreeriti kliendipoolse valikuga välja või kuulub profiili, mida klient ei kasuta.
Oletame, et jagamine toimis ja ikka miski ei vasta: siis kontrollige edastust lüüsil, vastaskülje tagasiteed ja mis tahes tulemüüri nende vahel. Marsruut valib tee, see ei anna juurdepääsu.