OpenVPN-en pull-filter-ek nahi zenuena baino gehiago harrapatzen du

Lerro bat gehitzen duzu zure tokiko ibilbide lehenetsia mantentzeko, eta ondoren tunelak ez du barneko DNS zerbitzarira iristen. Lerroa pull-filter ignore "route" zen, eta horrek ez du esan nahi "baztertu ibilbide hau". "Aurrizki horrekin hasten den bidalitako aukera guztiak baztertu" esan nahi du, eta zerbitzari arrunt batean horrek route-gateway, route-metric eta route-ipv6 barne hartzen ditu ibilbideekin batera. Beheko kontrol-zerrenda beste norbaitek erabili behar duen profil bat ukitu aurretik exekutatzen dudana da.

Filtroa bidalitako aukerei soilik aplikatzen zaie

pull-filter tunela ezarri ondoren zerbitzariak bidaltzen dituen aukera-lerroetan soilik eragiten du, eta ez beste ezeretan. Zure tokiko fitxategian idatzitako aukerek ez dute eraginik jasaten, ez eta aplikazioen trafikoak ere. Prozesu bat tunela erabiltzea eragoztea espero bazenuen, tresna guztiz okerra da hau eta filtro-konbinazio batek ere ez du lortuko.

Esparru hori erabilgarria da, zerbitzariaren konfigurazioa bakean utzi eta hala ere zati bat tokian bertan ukatu dezakezulako. Tiketean idazteko muga bat ere bada: filtro bat bezero honek onartzen duena aldatzen du, ez zerbitzariak eskaintzen duena. Ez du eraginik profil bereko beste erabiltzaileetan. Ez du irauten aukera ezartzen ez duen beste bezero batera aldatzean, eta hori jakitea merezi du horren gainean lan-fluxua eraiki aurretik.

Egiaztatu zerbitzariak benetan zer bidaltzen duen eredua idatzi aurretik. Xehetasun maila altuan bezeroak jaso duen aukera-katea inprimatzen du, eta hori da alderatzen ari zaren testu zehatzaren iturri zintzo bakarra:

sudo openvpn --config /etc/openvpn/corp.ovpn --verb 4
sudo grep -n 'pull-filter' /etc/openvpn/corp.ovpn

Irakurri bidalitako lerroa komaz bereizitako aukeren zerrenda gisa, eta kontuan hartu aukeren izenak eta haien argumentuak zuriunez bereizten direla. Zure filtro-testua korronte horrekin alderatzen da, horregatik dira zuriuneak hain garrantzitsuak hurrengo urratsean.

Bat-etortzea aurrizki bat da, beraz zuriuneak dira joko osoa

Konparazioa kate-aurrizki bat da, ez aukera-izen analizatu bat. Beraz "route" bat dator route-gateway 10.8.0.1, route-ipv6 2001:db8::/32 eta route-metric 100-rekin. Amaieran zuriune bat gehitzeak ziurrenik nahi zenuen familiara murrizten du, eta aurrizki osoak are gehiago murrizten du helmuga zehatz batera.

Azken errenkada da jendea split-tunel lanean harrapatzen duena. Zeure resolverra mantentzea aukera zilegia da, eta barneko izen guztiak orain zona pribatua ikusten ez duen resolver baten mende daudela esan nahi du. Nahita onartzeko ondorioa da, ez produkzioan aurkitzeko albo-efektua.

Aurrizkien bat-etortzeak esan nahi du arau bat isilka zabaldu daitekeela geroago. Zerbitzariak zure testuarekin hasten den aukera berri bat gehitzen duenean, zure filtroa hura aplikatzen hasten da inork zure profila editatu gabe. Hori da diseinatu behar den hutsegite-modua, eta arintzea aukeraren ahalik eta zati handiena bat etortzea da, ahalik eta txikiena ez.

Hiru aditz, hiru emaitza desberdin

accept, ignore eta reject ez dira ideia beraren hiru idazkera. Desberdinak dira bezeroak bat-etortze batekin zer egiten duen eta inork jakiten ote duen.

ignore isilki baztertzen du bat datorren aukera, nahita ordezkatu duzun ezarpen baterako nahi duzuna. reject baztertu eta bezeroa kexarazten du, hau da nahi duzuna bere absentzia erregistro batean ikusi behar denean geroago aurkitu beharrean. accept forma positiboa da, baimen-zerrenda bat eraikitzen duzunean erabiltzen da aukera indibidualak kentzen dituzunean baino.

Erabiltzen duzun aditza edozein dela ere, filtroak agertzen diren ordenan aplikatzen dira, beraz gainjartzen diren bi arauk ordenaren araberako emaitza oso zaila ematen dute berrikusteko. Mantendu arau bat asmo bakoitzeko eta jarri testurik zehatzena bakoitzean. Baimen-zerrenda bat behar baduzu, nahiago izan accept arau gutxi ignore arau pila baino, denek gauza bera ematen dutenean. Orduan berrikusleek fitxategia goitik behera irakur dezakete eta emaitza aurreikusi, eta hori da eskalatzen duen proba bakarra.

Egiaztatu aplikatutako ibilbidea eta resolverra, ez profila

Fitxategian zuzena dirudien filtro batek oraindik ez du ezer erabilgarririk bideratzen duen tunel batekin utz dezake. Egiaztatu eragina martxan dagoen sisteman, non bidalitako aukerak jada aplikatu edo baztertu diren:

ip route show default
ip route show | grep -c 'proto static'
resolvectl status | grep -A4 'Link.*tun0'
curl -sS -o /dev/null -w '%{http_code}\n' --max-time 5 https://intranet.example.internal/

Lehen bi lerroek esaten dizute bidalitako ibilbide lehenetsia iritsi den eta zenbat sarrera estatiko iraun duten. Resolver kontsultak tunelaren interfazeak benetan zein zerbitzari erabiltzen duen erakusten du, eta normalean hor agertzen da DNS ezustekoa. Azken lerroak erabiltzaile batentzat garrantzitsua den galdera bakarrari erantzuten dio.

Probatu bi norabideak han zauden bitartean. Zure tokiko internet martxan mantentzen duen baina barneko izen-ebazpena isilki hausten duen arau batek gainazaleko egiaztapen bat gainditzen du eta lehen zeregin errealak huts egiten du, beraz sartu barne baliabide bat eta webgune publiko bat proba berean.

Erregistratu salbuespena eta nor den haren jabea

Filtro bat operadorearen diseinuaren salbuespena da, beraz idatzi ezazu arrazoi batekin eta berrikuspen-puntu batekin. "Bidalitako ibilbideak baztertzen ditu tokiko lehenetsia mantentzeko" berrikusgarria da; profil bateko lerro huts bat ez, eta hurrengo pertsonak ezabatuko du edo asmatuz zabalduko du.

Bertsioak hemen ere badu garrantzia. Bat-etortze-portaera eta onartutako sintaxi zehatza OpenVPN 2.4, 2.5 eta 2.6 zehar findu dira, beraz egiaztatu eredua bidaltzen duzun buildaren eskuliburuarekin, eta ez bertsio zaharragoko foro-mezu batekin. OpenVPN 2.6 eskuliburuak aukera eta haren bat-etortze araua dokumentatzen ditu.

Azkenik, adostu salbuespena zerbitzaria kudeatzen duenarekin. Bezeroaren aldeko filtro bat zerbitzariaren politika deliberatu baten kontra doana hurrengo auditoriaren zain dagoen euskarri-gorabehera da, eta askoz merkeagoa da profila bidali aurretik konpontzea norbait ibilbideak falta direla ohartu ondoren baino.