Ynfiere VPN-rûtes ferskille fan 'e wurkjende klient? Ferlykje beide

Guon priveetsjinsten antwurdzje fia de VPN, wylst gewoan ynternetferkear hiel oars docht as op 'e masine fan in kollega, en de ferlieding is om te konkludearjen dat de Ubuntu-klient stikken is. Dy konklúzje slacht ien stap oer. In wurkjende privee operaasje en in oare iepenbiere paad binne twa waarnimmings, en it ferskil sit meastentiids yn it ferkearsbelied dat elke klient ynstallearre, net yn 'e klient sels.

De bewarre konfiguraasje ferlykje mei de echte netwurkstatus kostet trije opdrachten en beantwurdet de fraach dy't it rieden besocht te beantwurdzjen.

Earst it bewarre profyl, dêrnei de effektive status

In ynfierde OpenVPN-ferbining wurdt in eigen NetworkManager-profil. It .ovpn-bestân dêr't it fan kaam, hâldt op wierheidsboarne te wêzen op it stuit dat de ynfier klear is, dus dat bestân letter bewurkje feroaret neat oan 'e ferbining dy't jo brûke. Dit is it earste plak dêr't de ferliking misgiet, en it misgiet stil.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Lês de UUID as nammen botsing je; dûbele nammen oerlibje werynstallaasjes en profylwerstellen, en jo kinne in oere besteegje oan it bewurkjen fan 'e kopy dy't net brûkt wurdt. De wearden dy't jo sjogge beskriuwe de bewarre bedoeling: oft it profyl de standertrûte nimme mei, hokker rûtes bewarre binne en hokker resolvers en sykdomeinen it freget. Se beskriuwe net wat der barde doe't de ferbining aktivearre, om't in plugin of in triuw fan 'e tsjinner steat tafoegje kin dy't it profyl net neamt. Dêrom is de folgjende opdracht fan belang.

Sjoch dan wat it systeem echt mei dy bedoeling die, ynklusyf beliedsregels en alle tabellen, net allinnich de haadtabel. Bewarre eigenskippen binne ynfier, en de ynstallearre tabellen binne it resultaat.

ip -4 rule show
ip -4 route show table all

Twa bestimmingen, ien ferliking

Kies ien privee bestimming dy't wurket en ien gewoane iepenbiere bestimming, freegje dan de kernel hokker paad elk nimme soe. Krekt dat op beide masines dwaan makket fan in ûndúdlik ferskil in konkreet ien.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

De adressen binne foarbylden om te ferfangen troch jo eigen; it giet om it pear, net om 'e sifers. Ferlykje de ynterface, it boarne-adres en de tabel dy't yn elke útfier neamd wurdt. As de privee sykopdracht de tunnel neamt en de iepenbiere sykopdracht ek de tunnel neamt, hawwe jo in folsleine tunnel en de oare klient hat miskien in split ien, of oarsom.

Freegje net dat de twa klienten identike tekst printsje. Yn OpenVPN wurdt redirect-gateway def1 faak útdrukt as twa heale-prefiksrûtes ynstee fan ien standert, en in behearder dy't se oars toant is dêr net ferkeard troch. Beoardielje de dekking, dat is wat de sykopdrachten litte, net de opmaak.

Wêr't de twa klienten legitime ferskille

Klientstanderts binne beliedskeuzes, en se meie it meiinoar iens wêze. It iene produkt kin in folsleine tunnel foarkarje, in oar kin de lokale standert hâlde en allinnich de privee foarheaksels routearje, en in tredde kin folgje wat de tsjinner triuwe hat. In ferskil is allinnich in defekt as it tsjinsprekt mei de eask dy't jo krigen hawwe.

Ferlykje dus elke klient mei de goedkarde bedoeling fan split of folsleine tunnel, net mei elkoar. As de eask is dat privee ferkear de tunnel brûkt en it lokale ynternetpaad lokaal bliuwt, dan is in folsleine tunnel de bug en is in split tunnel korrekt, nettsjinsteande hokker klient wat die. Skriuw de bedoeling op foardat jo nei hokker konfiguraasje dan ek sjogge, oars wurdt de earste klient dy't jo besjen stil de standert.

DNS is in twadde as en it mislearret selsstannich. In korrekte rûte kin noch altyd fragen stjoere nei in resolver dy't net foar de privee sône antwurdzje kin, en in korrekte resolver makket in ferkearde rûte net goed. Kontrolearje beide, en behannelje in privee namme dy't oplost wylst in privee adres net oplost as bewiis dat de twa lagen apart oplost wurde.

Hâld de ferliking skjin

Rin ien ferbinings-eigner tagelyk. In OpenVPN-sesje fan 'e kommandorigel njonken it ynfierde profyl ynstallearret syn eigen rûtes en syn eigen resolversteat, en de resultearjende miks is it gedrach fan gjin fan beide klienten. Stop ien foardat jo de oare mjitte. Start opnij as jo net wis binne wat noch steat hâldt, om't in ferâldere rûte fan in oere lyn krekt as in beliedsprobleem lykje sil.

Hâld ek al it oare fêst: itselde einpunt, itselde akkount, deselde softwareferzjes, itselde netwurk. In sukses op 'e Windows-laptop fan in kollega testet in oare klient, in oare resolver-yntegraasje en miskien in oar tsjinnerprofil, dus it is gjin bewiis oer de Ubuntu-behearder.

De IPv4-ynstellingsreferinsje fan NetworkManager definiearret never-default en de bewarre rûte-eigenskippen krekt, wat it wurdich is om te lêzen foardat jo in beheard wearde feroarje. En tink oan 'e omfang fan dizze ferliking: it beslacht IPv4 en seit neat oer it oerienkommende IPv6-belied, dat syn eigen standerts en syn eigen manier hat om jo te ferrasen.