OpenVPN: it lokale adres tsjin it tunneladres: twa ferskate sockets

De klient wegeret te starten en klaget dat hy gjin lokaal adres binde kin, en de foar de hân lizzende oplossing liket te wêzen om it nei it tunneladres te wizen dat er ferwachtet te krijen. Dat kin net wurkje, en de reden is it wurdich te begripen: foardat de tunnel bestiet is der gjin binnenadres, en de socket dy’t kontakt makket mei de tsjinner moat earst bestean. Twa ferskate adressen binne belutsen, en mar ien fan beide kin lokaal keazen wurde.

De bind-flater neamt in lokaal adres

As OpenVPN meldt dat er gjin lokaal adres binde kin, praat er oer de ferfierssocket: it UDP- of TCP-einpunt dat de fersifere ferbining nei de peer draacht.

In eksplisite local-direktive freget de daemon om dy socket oan in bepaald lokaal adres te binden. It adres moat bestean yn de netwurk-nammeromte dêr’t it proses yn draait, en it moat tawiisber wêze op it momint dat de klient start.

In iepenbier adres dat by in router of oan de wolkrâne oerset wurdt, is gjin lokaal adres dat de daemon binde kin, ek al is it it adres dat de tsjinner sjocht. Dat ûnderskied ferklearret wêrom’t ien profyl thús wurket en op in wolk-ynstânsje mislearret. It ferklearret ek wêrom’t it tafoegjen fan it iepenbiere adres oan in loopback-ynterface net helpt, om’t it ferfier dan fan in adres útgean soe dêr’t it netwurk net nei weromkomme kin. Lês de ynterfacelist foardat jo it profyl bewurkje.

Wat local en remote eins kieze

remote neamt de peer dy’t kontaktearre wurde moat. local bindt it tichtbye ein fan deselde socket. nobind lit it bestjoeringssysteem sawol it lokale adres as de poarte kieze, en dêrom wurkje kliïnten efter thúsrouters normaal sûnder ien fan beide direktiven.

Gjin fan beide direktiven hat wat te krijen mei it adres binnen de tunnel.

Yn in kontener of netwurk-nammeromte jildt deselde regel mei nauwere grinzen: de adressen fan de host binne der binnen net, dus in local-rigel dy’t fan de hostkonfiguraasje kopyeare is, mislearret om in hiel oare reden as in ferkeard adres.

ip -brief address show
ip route get 203.0.113.10

It binnenadres komt fan de tsjinner

It adres binnen de tunnel wurdt ûnderhannele of tawiisd neidat it kontrôlekanaal oprjochte is. Mei in dynamyske pool beslút de tsjinner it by it ferbinen, en mei kliïntspesifike konfiguraasje kin it per identiteit fêst wêze.

It skriuwen fan local mei in binnenadres freget de tsjinner net om dat adres ta te wizen. Yn it bêste gefal mislearret it binden; yn it minste gefal fynt de klient in net besibbe hostadres mei deselde wearde en begjint it foar it ferfier te brûken.

De ynterfaces dy’t lêzen wurde moatte, ferskille ek. ifconfig-parameters en poolkonfiguraasje beskriuwe it binnenste, wylst remote, local, proto en nobind it bûtenste beskriuwe. De twa listen apart hâlde ferklearret hast elk betiizjend foarbyld dat jo op in foarum fine. OpenVPN 2.6-hânlieding dokumintearret se dêrom yn aparte seksjes.

De fal: in folsleine tunnel dy’t syn eigen ferfier fangt

Sadree’t de tunnel omheech is en de standertrûte draacht, meie de pakketten dy’t him oanhâlde net deryn rûte wurde. Dat is in rûteprobleem en gjin adresprobleem, en de daemon lost it op troch in spesifiker rûte nei it eigen adres fan de tsjinner fia de oarspronklike gateway te ynstallearjen.

As jo it ferfier oan in bepaald lokaal adres fêstmeitsje en letter it paad feroarje dat dat adres brûkt, kin de bûtenste ferbining de wei kwytreitsje wylst it binnenste konfigurearre bliuwt. De tunnel bliuwt melde dat er ferbûn is om’t it binnenste goed is. Allinnich it ferfier is stikken, en dêrom lêze de logboeken as tsjinstridichheden.

De symptomen lykje dan op in tunnel dy’t ferbynt en beferzet, of ien dy’t yn in lus opnij ferbynt sûnder in brûkbere flater. Kontrolearje de rûte nei it adres fan de peer foardat jo wat dan ek binnen de tunnel kontrolearje, en befêstigje dat it lokale adres dat jo bounden hawwe noch by de ynterface heart dy’t jo ferwachten.

In gewoante dy’t de betizing foarkomt

Lês elk adres yn in profyl en beslút foardat jo it bewurkje by hokker laach it heart.

As it it fiere ein fan it ferfier neamt of it tichtbye ein derfan bindt, is it in bûtenadres en moat it foar it starten bestean. As it beskriuwt wat binnen de tunnel bart, komt it fan de tsjinner of fan de topology, en gjin lokale direktive kin it ferfange.

Skriuw de twa listen yn de ynsetnotysjes njonken it profyl. De folgjende probleemoplossingssesje begjint dan by de laach ynstee fan by in gissing.