Tuodut VPN-reitit eroavat toimivasta asiakkaasta? Vertaa molempia

Jotkin yksityiset palvelut vastaavat VPN:n kautta, kun taas tavallinen internettiliikenne käyttäytyy täysin eri tavalla kuin kollegan koneella, ja houkutus on päätellä, että Ubuntu-asiakas on rikki. Tämä päätelmä ohittaa yhden askeleen. Toimiva yksityinen toiminto ja poikkeava julkinen reitti ovat kaksi havaintoa, ja ero on yleensä siinä liikennepolitiikassa, jonka kukin asiakas asensi, ei asiakkaassa itsessään.

Tallennetun kokoonpanon vertaaminen todelliseen verkon tilaan vaatii kolme komentoa ja vastaa kysymykseen, johon arvailu yritti vastata.

Ensin tallennettu profiili, sitten todellinen tila

Tuotu OpenVPN-yhteys muuttuu omaksi NetworkManager-profiilikseen. .ovpn-tiedosto, josta se tuli, lakkaa olemasta totuuden lähde heti, kun tuonti päättyy, joten sen tiedoston myöhempi muokkaaminen ei muuta mitään käyttämässäsi yhteydessä. Tässä vertailu menee ensimmäisen kerran pieleen, ja se menee pieleen hiljaa.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Lue UUID, kun nimet törmäävät; kaksoisnimet säilyvät uudelleenasennuksissa ja profiilien palautuksissa, ja voit viettää tunnin muokkaamalla kopiota, joka ei ole käytössä. Näkemäsi arvot kuvaavat tallennettua aikomusta: saako profiili ottaa oletusreitin, mitkä reitit tallennettiin ja mitä nimipalvelimia ja hakudomeeneja se pyytää. Ne eivät kuvaa, mitä tapahtui yhteyden aktivoituessa, koska liitännäinen tai palvelimen työntö voi lisätä tilaa, jota profiili ei mainitse. Siksi seuraava komento on tärkeä.

Katso sitten, mitä järjestelmä todella teki tällä aikomuksella, mukaan lukien käytännön säännöt ja kaikki taulukot, ei vain päätaulukko. Tallennetut ominaisuudet ovat syötteitä, ja asennetut taulukot ovat tulos.

ip -4 rule show
ip -4 route show table all

Kaksi kohdetta, yksi vertailu

Valitse yksi toimiva yksityinen kohde ja yksi tavallinen julkinen kohde ja kysy sitten ytimeltä, minkä polun kumpikin ottaisi. Juuri tämän tekeminen molemmilla koneilla muuttaa epämääräisen eron konkreettiseksi.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Osoitteet ovat esimerkkejä, jotka korvaat omillasi; olennaista on pari, ei numerot. Vertaa liitäntää, lähdeosoitetta ja kussakin tulosteessa nimettyä taulukkoa. Kun yksityinen haku nimeää tunnelin ja julkinen haku nimeää myös tunnelin, sinulla on täysi tunneli ja toisella asiakkaalla voi olla jaettu, tai päinvastoin.

Älä vaadi kahden asiakkaan tulostavan identtistä tekstiä. OpenVPN:ssä redirect-gateway def1 ilmaistaan yleensä kahtena puoliprefiksireittinä yhden oletusreitin sijaan, eikä hallintaohjelma, joka näyttää ne eri tavalla, ole siksi väärässä. Arvioi kattavuutta, jonka haut näyttävät, älä muotoilua.

Missä kaksi asiakasta eroaa laillisesti

Asiakkaan oletukset ovat poliittisia valintoja, ja ne saavat olla eri mieltä. Yksi tuote voi suosia täyttä tunnelia, toinen voi pitää paikallisen oletuksen ja reitittää vain yksityiset etuliitteet, ja kolmas voi seurata sitä, mitä palvelin työnsi. Ero on virhe vain silloin, kun se on ristiriidassa sinulle annetun vaatimuksen kanssa.

Vertaa siis jokaista asiakasta hyväksyttyyn jaetun tai täyden tunnelin aikomukseen, älä toisiinsa. Jos vaatimus on, että yksityinen liikenne käyttää tunnelia ja paikallinen internetpolku pysyy paikallisena, silloin täysi tunneli on virhe ja jaettu tunneli on oikein, riippumatta siitä, mikä asiakas teki mitä. Kirjoita aikomus muistiin ennen kuin katsot mitään kokoonpanoa, muuten ensimmäisestä tarkistamastasi asiakkaasta tulee hiljaa standardi.

DNS on toinen akseli ja se epäonnistuu itsenäisesti. Oikea reitti voi silti lähettää kyselyitä nimipalvelimelle, joka ei osaa vastata yksityisestä vyöhykkeestä, eikä oikea nimipalvelin korjaa väärää reittiä. Tarkista molemmat ja pidä yksityistä nimeä, joka ratkeaa, samalla kun yksityinen osoite ei ratkea, todisteena siitä, että kaksi kerrosta ratkaistaan erikseen.

Pidä vertailu puhtaana

Aja yhtä yhteyden omistajaa kerrallaan. Komentoriviltä ajettava OpenVPN-istunto tallennetun profiilin rinnalla asentaa omat reittinsä ja oman nimipalvelintilansa, eikä syntyvä sekoitus ole kummankaan asiakkaan käytöstä. Sammuta toinen ennen kuin mittaat toista. Käynnistä uudelleen, jos et ole varma, mikä vielä pitää tilaa, koska tunnin takainen vanhentunut reitti näyttää täsmälleen käytäntöongelmalta.

Pidä kaikki muukin kiinteänä: sama päätepiste, sama tili, samat ohjelmistoversiot, sama verkko. Menestys kollegan Windows-kannettavalla testaa toista asiakasta, toista nimipalvelinintegrointia ja ehkä toista palvelinprofiilia, joten se ei ole todiste Ubuntu-hallinnasta.

NetworkManagerin IPv4-asetusten viite määrittelee tarkasti never-default-asetuksen ja tallennetut reittien ominaisuudet, ja se kannattaa lukea ennen hallitun arvon muuttamista. Ja muista tämän vertailun laajuus: se kattaa IPv4:n eikä kerro mitään vastaavasta IPv6-käytännöstä, jolla on omat oletuksensa ja oma tapansa yllättää.