OpenVPN erortzen da DHCP berritze baten ondoren: mantendu amaiera-puntuaren ibilbidea
DHCP berritze batek tunelaren amaiera-puntua zaharkitutako ataka batean utz dezake, eta erdi-lehenetsitako ibilbideek tunela irentsi egiten dute. Konpondu nork duen ibilbide horren jabetza, ez metrika.
Tunela konektatzen da, gero sarbide-estekan egindako errentamendu-berritze batek hiltzen du, eta erregistroak denbora-muga bat leporatzen dio ibilbide bati beharrean. VPNaren konfigurazioan ezer ez da aldatu, eta hori da arrastoa: kanpoko zerbait aldatu da. DHCP gertaera batek helbidea edo ataka berridatzi zuen, eta tunelaren amaiera-puntua eskuragarri edukitzen zuen host-ibilbidea existitzen ez den hurrengo jauzi batera eramaten du orain. Jabetza-arazoa da, bideratze-arazoa izan aurretik.
Alderatu sintoma erdi-lehenetsitako ibilbideekin
redirect-gateway def1 erabiliz gero, OpenVPNek 0.0.0.0/1 eta 128.0.0.0/1 instalatzen ditu, lehenetsitako ibilbidea ordeztu beharrean. Biek elkarrekin helbide-espazio osoa hartzen dute, eta 0.0.0.0/0 mendean hartzen dute aurrizkiaren luzerari soilik esker. Beraz, bat-etortze zehatzagonik gabeko edozein helmuga tunelera sartzen da.
Amaiera-puntuak salbuespen bat behar du. OpenVPNek host-ibilbide bat gehitzen du zerbitzariaren helbidera, hasierako sarbide-atakaren bidez, erdi-lehenetsitakoak sartu aurretik, kapsulatutako paketeek irten ahal izan dezaten. Salbuespen hori desagertzen denean, edo existitzen ez den hurrengo jauzi bat mantentzen duenean, tunelaren beraren kanpoko paketeak erdi-lehenetsitako batekin bat egiten dute eta tunelera itzultzen dira. Emaitza keepalive edo eskuko hurrengo batean hiltzen den konexio bat da, erregistroan bideratze-errore baten antzik ez duela.
Egiaztatu taularen forma beste ezer ukitu aurretik. ip route show komandoak bi erdiak eta zerbitzariaren helbiderako host-ibilbide bat zerrendatu beharko lituzke; host-ibilbidea falta denean, ikerketaren gainerakoak abiapuntu begi-bistakoa du.
Zergatik irabazten dute erdi-lehenetsitakoek metrika aldatu gabe
Metrika baxuago batek ez du aurrizki luzeago bat menderatzen. /1 ibilbideek irabazten dute, nukleoak ibilbide zehatzena lehenengo parekatzen duelako, beraz lehenetsitako ibilbideko metrika igotzeak ez du ezer aldatzen tunelera doan trafikoak nora jotzen duen. Metriken atzetik ibiltzea da diagnostiko honetan ohikoen den bide okerra.
Egiaztatu hautaketa ip route get 203.0.113.10 erabiliz, zerbitzariaren benetako helbidea jarrita. Erantzunak nukleoak benetan erabiliko lukeen interfazea eta hurrengo jauzia izendatzen ditu, eta hori informagarriagoa da taula bat irakurri eta hari buruz arrazoitzea baino.
Exekutatu komando hori tunela hasi aurretik, martxan dagoen bitartean eta errentamendu-gertaeraren ondoren. Komando batetik hiru erantzun, eta dibergentzia-puntua ikusgai bihurtzen da.
Hartu hiru argazki, ez bat
Bildu sarbide-helbidea, sarbide-ataka, amaiera-puntuaren helmuga, hautatutako ibilbidea eta edozein politika-arau hiru unetan: sarbide-esteka konfiguratu ondoren, VPNa konektatu ondoren eta errentamendu edo eramaile gertaeraren ondoren. Argazki bakoitza komando eskukada bat da, eta elkarrekin soilik dute esanahirik. Hutsegitearen ondorengo argazki bakar batek egoera erregistratzen du, ez trantsizioa. Idatzi komandoak script txiki batean, argazki bakoitza modu berean har dadin.
Eduki argazkiak fitxategi bakarrean denbora-zigiluekin, geroago galdera interesgarria ordena delako. DHCP gertaera OpenVPN aplikazioak bere ibilbidea freskatu aurretik edo ondoren iritsi zen? Erantzunak erabakitzen du nork konpondu behar duen. Erloju okerreko denbora-zigilu bat ez egotea baino okerragoa da, beraz hartu ibilbide-taula duen host-etik.
Amaiera-puntua helbide bat beharrean izen gisa konfiguratuta dagoenean, ebatzi hau ere argazki bakoitzean. Sarbide-estekako DNS aldaketa batek amaiera-puntua mugi dezake inolako ibilbiderik ukitu gabe.
Erabaki zein osagaik freskatzen duen salbuespena
dhcpcd sistema batean, kakoak kako-direktorioitik eta irteera-kakotik exekutatzen dira, eta kudeatzaile moduak eremu ezberdina du interfaze bakarreko moduaren aldean. Kakoak egiten duena idempotentea izan behar du, berritzeak boladatan irits baitaitezke.
Jabe fidagarria bi aldeak jada ezagutzen dituen integrazioa da: VPN konexioa kudeatzen duen sare-kudeatzaile bat, edo sarbide-esteka altxatu ondoren ordenatutako unitate bat. Kako batek gehitutako ibilbide estatiko bat hurrengo ataka-aldaketara arte funtzionatzen du, eta gero modu berean huts egiten du. Kakoa erabiltzen baduzu, egin dezala uneko ataka exekuzio-denboran irakurri, gaur ikusi duzuna gogorrean kodetzen duen ordez.
Erregistratu jabea konfigurazioaren barruan. Birkonexioa arazten duen hurrengo pertsonak jakin behar du kako bat dela, ez VPNa, salbuespen-ibilbidearen erantzule.
Probatu bizi-zikloa, ez soilik birkonexioa
Behartu berritze bat dhcpcd -n eth0 erabiliz edo errentamendua askatu eta berrituz, gero egiaztatu berriro ip route get amaiera-punturako. Egin bi aldiz, bigarren exekuzioak ibilbide bikoiztuak gehitzen dituzten kakoak harrapatzen baititu. Gero berrabiarazi, iraunkortasuna zuzenketaren aldean beste propietate bat baita.
Berritze bat eta berrabiarazte bat gainditzen dituen tunel batek jabea eta funtzionatzen duen salbuespena ditu. Eskuzko berrabiarazte bat soilik gainditzen duenak ez du bat ere ez, eta ezingo duzun hurrengo gertaeran huts egingo du.