Troch OpenVPN trochstjoerde rûtes net ynstallearre: timing, rjochten of belied

De tsjinner seit dat er de rûte trochstjoerd hat, de kliïnt seit dat er ferbûn is, en de bestimming is noch altyd net berikber. Trije oarsaken jouwe krekt dat byld. It tafoegjen fan ’e rûte rûn foardat it apparaat bestie, de kliïnt miste de rjochten om de tabel te feroarjen, of in belied sei de kliïnt ta om trochstjoerde opsjes te negearjen.

Fan bûten sjogge se itselde út en freegje om ferskate reparaasjes. Lês it kliïntloch op it punt dêr’t de beslissing oer de rûte nommen wurdt.

Bewiis dat de rûte ûntbrekt, net allinnich dat se stikken is

Begjin mei te bewizen dat de rûte ûntbrekt ynstee fan stikken. Op Linux listet ip route show dev tun0 wat de kliïnt op it tunnelapparaat ynstallearre hat. Op Windows lit route print of Get-NetRoute itselde sjen yn tabelform.

In rûte dy’t bestiet mar gjin ferkear trochstjoert, is in oar probleem. Dat ferpleatst it ûndersyk nei trochstjoer- en firewallregels, net nei de ynstallaasje fan ’e rûte.

Timing: it tafoegjen rûn foardat it apparaat bestie

De kliïnt analysearret de PUSH_REPLY fan ’e tsjinner neidat it kontrôlekanaal omheech is en neidat er de ynterface konfigurearre hat. Pas dan rekket er de rûtetabel oan, mei hokker meganisme de platfoarm ek biedt. Linux giet fia netlink; Windows brûkt in API dy’t in ferhege token fereasket. In skript of in kliïnt dy’t rûtes tafoeget sa gau’t er de konfiguraasje lêst, kin rinne foardat it TUN/TAP-apparaat bestiet, en de kernel wiist de tafoeging ôf.

Deselde race ferklearret wêrom’t in mei de hân typte rûte wurket wylst de automatyske dat net docht: tsjin ’e tiid dat jo it typpe, is de ynterface al omheech.

route-delay bestiet foar dit gefal, en route-up neamt in skript dat rûn nei’t de ynterface en rûtes konfigurearre binne. Set rûtes dy’t fan it tunneladres ôfhinkje yn dat hook ynstee fan yn in iere fase.

Rjochten: wa mei de tabel feroarje

It feroarjen fan ’e Windows-rûtetabel fereasket in ferhege token. In GUI dy’t troch in standertbrûker starten is, kin it adapteradres fia de tsjinst sette en dochs gjin rûte tafoegje. It loch lit dan in flater fan it type tagong wegere sjen ynstee fan in ûntbrekkende push.

De GUI as behearder starte, of de tsjinstbasearre kliïnt brûke, feroaret dat resultaat. In plande taak dy’t de kliïnt sûnder it fereaske token start, docht dat net.

Kontrolearje hokker account de kliïnt eins rûn foardat jo wat feroarje. De ferzje en de tsjinstmodus bepale hokker oarsaken dan ek mooglik binne, dus skriuw beide njonken de rûte-útfier.

Belied: trochstjoerde rûtes kinne mei opsetsin fuortgoaid wurde

route-nopull makket dat de kliïnt rûtes negearret dy’t de tsjinner trochstjoert, ynklusyf in trochstjoerde standertrûte, wylst it tunneladres noch altyd akseptearre wurdt. Trochstjoerde DNS- en DHCP-opsjes wurde troch deselde rjochtline fuortgoaid. Sa’n kliïnt is net defekt; hy ferwachtet eksplisite rûtlinen yn syn eigen konfiguraasje.

route-noexec is in oare kontrôle: it stopet de kliïnt hielendal om rûteferoarings út te fieren. In topology dy’t de kliïnt net mappe kin, kin in ferlykber resultaat jaan, mei de rûte logd as wegere ynstee fan tafoege. Lês de lochline dy’t de beslissing rapportearret ynstee fan te rieden hokker fan ’e trije jildt. Kontrolearje dêrnei it effektive profyl, want in ymporteur of beheartool kin opsjes tafoegje dy’t de brûker nea bewurke hat.

In profyl dat der yn in tekstbewurker skjin út sjocht, kin by runtime dochs in tafoege rjochtline drage.

Fergelykje de pushlist mei de tabel

Set nei it ferbinen de pushlist fan ’e tsjinner njonken de tabel fan ’e kliïnt. Op Linux is dat ip route show dev tun0; op Windows route print of Get-NetRoute. As de rûte ûntbrekt, reparearje earst de ynstallaasje. As se bestiet en it ferkear mislearret, gean dan troch nei trochstjoer- en firewallbelied.

Skriuw de kliïntferzje, it account dêr’t er ûnder rûn en oft er tsjinstbasearre is op. Dy trije feiten fertelle de folgjende persoan hokker oarsaken útsletten binne.