Non dagokio bideari OpenVPN-n: bezeroari edo zerbitzariari?
Zerbitzariaren konfigurazioan bide huts batek zerbitzaria aldatzen du, ez bezeroa. Aukeratu bezeroaren fitxategia, push globala edo bezero bakarrari pusha, eta egiaztatu zer iritsi zen.
route 10.60.0.0 255.255.255.0 gehitzen diozu zerbitzariaren konfigurazioari, berrabiarazi, ordenagailu eramangarria berriro konektatzen duzu, eta azpisarea oraindik ez da iristea lortzen ordenagailu eramangarri horretatik. Lerroa onartu egin zen, zerbitzua garbi abiatu zen, eta erregistroan ez dirudi ezer oker dagoenik. Gertatu dena da bidea editatu duzun makinan instalatu zela: atebideak uste du orain aurrizki hori irits dezakeela, baina bezeroari ez zitzaion ezer esan. Kokapena da kontu osoa, eta lerro bera bizi daitekeen lau leku daude.
Lau lekuak eta bakoitza nork jasotzen duen
Bide bat bezeroaren konfigurazio propioarekin gehi daiteke, bezero guztiei push global baten bidez eskaini, bezero bakarrari bezeroarentzako fitxategi baten bidez eskaini, edo zerbitzariaren beraren bideratze-testuinguruan idatz daiteke.
Lau kasu horiek ia berdinak diren sintaxia erabiltzen dute eta erabat desberdinak diren emaitzak ematen dituzte. Lehen hirurek bezeroak tunelera zer bidaltzen duen eragiten dute; laugarrenak zerbitzariak sare batera nola iristen den, hau erabilgarria da zerbitzariak berak bidea behar duenean eta kaltegarria banaketarekin nahasten denean.
Erabaki lauetatik zein nahi duzun lerroa idatzi aurretik, eta gero berretsi hartzailea.
| Placement | Effect | Receiver |
|---|---|---|
| Client profile route | Installed by the client at connect | That client only |
Global push "route ..." | Sent to every client that accepts pushed options | All pulling clients |
| Client-specific push | Sent to the matching client context | One identity |
| Server config route, no push | Added to the server's own table | The gateway itself |
Zergatik harritzen duen zerbitzariko bide hutsak jendea
Zerbitzariaren konfigurazioa da administratzaileek lehenengo begiratzen duten lekua, eta hango bide-zuzentaraua VPN sareari buruzko adierazpen bat bezala irakurtzen da. Ez da hala. OpenVPN makina berean bide-instalazio lokaltzat hartzen du, hau da, ip route erabiliz egingo zenukeen eta gero ahaztuko zenukeen aldaketa mota bera.
Banaketak bidea push bidez bidal dadin eskatzen du, eta pushak bezeroak tira dezan eskatzen du. Tiratutako aukerak desgaituta abiatutako bezeroak erabat ignoratzen du eskaintza. Egiaztatu eskuko ukaldi horren bi muturrak zerbitzariaren fitxategia berridatzi aurretik, zerbitzariaren erregistroak ez baitu kexatuko: bere aldetik eskaintza bidali zen. Onartutako bidea hurrengo konexioan soilik sartzen da indarrean, inoiz ez zauden saioan.
Bi eragiketak bereizita ikusten dituzunean, hutsak misteriotsua izateari uzten dio: zerbitzaria aurrizkira iristen da, bezeroa ez, eta bi baieztapenak aldi berean egiazkoak dira.
Bezero bakoitzeko fitxategiak eta bat datozen identitatea
Bezero jakin baterako fitxategiari zerbitzariak autentifikatu zuen identitatearen izena ematen zaio, eta lehenespenez ziurtagiriaren izen arrunta da. Mahaigaineko bezeroan konexio-izen atsegina ez da balio hori, eta desadostasunak inoiz irakurtzen ez den fitxategia sortzen du.
Egiaztatu zerbitzariak benetan erabiltzen duen direktorioa, eta gero berretsi fitxategi-izenak autentifikatutako identitatearekin zehatz-mehatz bat egiten duela, letra larriak eta xeheak barne.
grep -n 'client-config-dir' /etc/openvpn/server/server.conf
ls -l /etc/openvpn/ccd/Fitxategi horren barruan bidea oraindik push bidez bidali behar da, bezero bakoitzeko testuingurua bezero horren saioari aplikatutako aukeren multzoa baita, ez bideratze-taula lokala. Hango bide hutsak fitxategi globalean dagoen bide hutsaren arazo bera du.
Bezeroaren fitxategi propioa eta hura kudeatzen duen tresna
Bezeroaren konfigurazioan jarritako bidea bezero hori konektatzean instalatzen da eta deskonektatzean kentzen da, eta hori da helmuga estatiko baterako bizitza-ziklo egokia.
Sare-kudeatzaile batek profila badu, aukera horiek behin inporta ditzake eta gero bere kopia gorde. Deskargatutako fitxategia geroago editatzeak ez du ezer aldatzen, eta hori ohiko arrazoia da "bidea han dago baina ez da aplikatzen" esateko.
Egiaztatu profil aktiboa, ez deskargatu duzun fitxategia, eta egiaztatu kudeatzaileak erakusten dituen inportatutako ezarpenak. Gero konektatu eta galdetu sistemari helbide jakin batek zein bide erabiltzen duen, testu-fitxategi batean bidea zegoelako tunelak irabazi zuela suposatu beharrean.
Egiaztatu bezeroan, eta gero egiaztatu itzultzeko bidea
Galdetu bezeroaren beraren bideratze-taulari helmugaz, ez zerbitzariari. Aurrizki barruko host bakarrerako bilaketa nahikoa da erabiliko diren interfazea eta hurrengo jauzia erakusteko.
ip route get 10.60.0.10Bilaketak tunelera seinalatzen badu, banaketak funtzionatu du eta gainerako arazoa beste nonbait dago. Atebide lehenetsira seinalatzen badu, bidea ez zen instalatu, bezeroaren alboko aukera batek iragazi zuen, edo bezeroak erabiltzen ez duen profil batekoa da.
Demagun banaketak funtzionatu duela eta ezerk ez duela erantzuten: orduan egiaztatu atebideko birbidaltzea, beste aldearen itzultzeko bidea eta bien arteko suebaki oro. Bideak norabide bat aukeratzen du, ez du sarbiderik ematen.