Cad a chuireann route-nopull OpenVPN i ndáiríre ón bhfreastalaí a bhrú

Chuir tú route-nopull i bpróifíl cliaint chun an tollán a stopadh ó do ród réamhshocraithe a shlogadh, agus anois tá foirlíon na hoifige dosháraithe agus an cliant fós ag rá go bhfuil sé ceangailte. Tá an dá bhreathnú fíor, agus níl aon rud tar éis teip. Insíonn an bratach don chliant na róid agus na hiontrálacha DHCP a bhrúnn an freastalaí a scipeáil, treoir is cúinge ná mar a mbíonn súil ag formhór na ndaoine uirthi nuair a chuireann siad leis é. Is é atá fágtha tollán oibre gan tuairim faoi cé na cinn scríbe ar cheart dó a úsáid.

Is é an bhearna sin an cinneadh iomlán a bhfuil an t-alt seo faoi. Ceachtar déanann an freastalaí cur síos ar an líonra, nó déanann an cliant é, agus tugann an bratach an tasc sin don chliaint gan aon rud de a dhéanamh ar do shon.

Cad a mhúchann an bratach ag am ceangail

De ghnáth tógann cliant OpenVPN a tharraingíonn beart ón bhfreastalaí tar éis fíordheimhniú: róid, atreorú an gheata réamhshocraithe, freastalaithe DNS, agus cúpla treoir mhionchoigeartaithe. Le route-nopull i bhfeidhm glacann an cliant leis an seisiún fós, fíoraíonn sé teastais fós, déanann sé idirbheartaíocht ar shifrí agus keepalives fós, agus ardaíonn sé an comhéadan fós. Is é a chaitheann sé ná cur i bhfeidhm na línte route a bhrúitear agus na línte dhcp-option a bhrúitear, DNS san áireamh.

Tagann an mearbhall ó tháscaire glas in aice le feidhmchlár marbh. Tá an tollán ann; níl an mhapáil ó chinn scríbe chuig an tollán sin ann. Ní dhéanann aon rud i bpainéal stádais an chliaint idirdhealú idir «ceangailte agus ag ródú» agus «ceangailte agus neamhghníomhach», mar ó thaobh an tolláin is ionann an dá rud.

Cén fáth nach féidir le tollán beo aon rud a ródú

Tagann an comhéadan chun solais lena sheoladh féin agus, ar nasc pointe le pointe, go minic níl aon rud níos sonraí ná ród óstaigh chuig an gcomhghleacaí. Ní bhíonn foirlíon phríobháideach inrochtana go dtí go bpointeálann ród éigin chuig an gcomhéadan sin leis an réimír cheart, agus an bhrú díchumasaithe ní thagann an ród sin riamh. De ghnáth ní féidir leis an bpróifíl íoslódáilte cabhrú ach an oiread, mar scríobhadh í ag glacadh leis go soláthródh an freastalaí go beacht an fhaisnéis seo. Sin é an fáth go bhféadfadh an comhéadan a bheith sláintiúil agus an fhoirlíon fós dorcha.

Mar sin ní chruthaíonn léamh na próifíle mórán. Léigh an staid reatha, ar an meaisín ceangailte:

ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10

Is é seoladh gan ród foirlíne sa dara ordú síniú an fhadhb seo. Ansin freagraíonn an tríú hordú an cheist a bhfuil cúram iarbhír ag úsáideoirí uirthi, mar tuairiscíonn sé an comhéadan a roghnódh an t-eithne d’ionsaí áirithe seachas an liosta a raibh tú ag súil go n-úsáidfeadh sé. Má fhreagraíonn sé trí do nasc fisiciúil, níl an tollán sa chonair ar chor ar bith.

Teipeann ar réiteach ainmneacha ar chúis ghaolmhar, ní ar chúis ar leith. Scipeáiltear na hiontrálacha dhcp-option DNS a bhrúitear leis an mbratach céanna, mar sin téann fiosrúcháin faoi óstaigh inmheánacha chuig cibé réiteoir a sholáthair an líonra áitiúil. Níl aon chrios ag an réiteoir sin don oifig, mar sin teipeann ar an bhfiosrúchán nó cuireann sé freagra poiblí ar ais, agus breathnaíonn an teip mar fhadhb freastalaí nuair is fadhb chumraíochta cliaint í. Is é seoladh a thástáil roimh ainm a scarann an dá rud.

Roghnú idir an bratach agus scagaire réimíre

Réitíonn an dá rogha cineálacha éagsúla den ghearán céanna, agus is é an drochrogha a chruthaíonn an staid cheangailte-ach-díobhálach. Cuireann ceann amháin an polasaí brúite ina iomláine in ionad, agus athraíonn an ceann eile de réir réimíre é. Tugann an tábla an leagan gearr, agus clúdaíonn an mhír ina dhiaidh an chuid a thagann aniar aduaidh ar dhaoine.

Is meaitseálaí réimíre é pull-filter le trí bhriathar, mar sin féadann sé teaghlach línte a ghlacadh, iad a neamhaird go ciúin, nó an nasc a dhiúltú go hiomlán nuair a thagann réimír chun solais. Is é an t-iompar deireanach sin an ceann is fiú a bheith ar eolas agat: casann riail dhiúltaithe easaontas polasaí ina lámhchroitheadh teipthe seachas ina fhágáil chiúin. Liostaíonn lámhleabhar OpenVPN 2.6 na réimíreacha a nglactar leo agus brí bheacht gach briathair.

Bealach láir coitianta is ea redirect-gateway amháin a dhiúltú agus ligean do róid na hoifige agus DNS teacht mar a bhí beartaithe. Coinníonn sé sin an bhrú ag obair do na codanna a thuigeann an freastalaí níos fearr ná tusa, agus cuireann sé cosc ar an líne amháin a ghlacfadh seilbh ar do ród réamhshocraithe.

Róid agus réiteoir a chur leis de láimh

Má choinníonn tú an bhratach, caithfidh an phróifíl a rá cad a déarfadh an freastalaí. Cuirtear treoracha route ar thaobh an chliaint i bhfeidhm tar éis an nasc a bheith bunaithe, mar sin oibríonn siad taobh leis an mbratach seachas a bheith bactha aici. Cuir sa phróifíl iad, ní i líne ordaithe idirghníomhach, nó ní atáirgfidh an chéad athcheangal eile an staid oibre.

route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53

Tá an líne DNS in áit mhíchompordach: is treoir ar thaobh an chliaint í, ach ní chuireann roinnt cliant i bhfeidhm í ach trí chomhtháthú DNS an ardáin, a fhéadfadh í a fhorscríobh nuair a athraíonn an nasc. Ar óstríomh systemd, is intuarthaí an réiteoir a shocrú go díreach ar chomhéadan an tolláin ná a bheith ag súil go mbuafaidh an cliant an comórtas tosaíochta:

resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.com

Tá an t-ábhar ródaithe chomh tábhachtach leis an seoladh. Gan é, féadfar fiosrúcháin faoi ainmneacha poiblí a sheoladh chuig an réiteoir inmheánach freisin, agus brisfidh aon réiteoir inmheánach a dhiúltaíonn atarlú an brabhsáil agus an crios príobháideach fós ag obair. Leis, ní ródaítear ach ainmneacha faoin iarmhír sin chuig réiteoir an tolláin agus leanann gach rud eile an nasc fisiciúil.

An toradh a sheiceáil: seoladh, ainm agus an chonair sheachtrach

Scarann trí thástáil na teipeanna féideartha. Faigh an seoladh príobháideach de réir IP, ansin an t-óstach céanna de réir ainm, ansin suíomh poiblí coitianta. Má oibríonn an IP agus má theipeann ar an ainm dírítear ar an réiteoir; má theipeann ar an IP agus má oibríonn an ainm dírítear ar ródú; má theipeann ar an dá rud is gnách nach bhfuil an tollán sa chonair.

Ansin féach amach seachas isteach. Caithfidh ród an phointe deiridh tolláin féin maireachtáil tríd an athrú, agus caithfidh aon teip bhacála a bheith teoranta don tollán gan greim a fháil ar an bpointe deiridh. Is fadhb polasaí é cliant a leanann ag brabhsáil tar éis an tollán titim, ní fadhb ródaithe, agus ní thaispeánfar í in aon cheann de na trí thástáil thuas.

Scríobh an liosta deiridh i ndoiciméadú na próifíle: na róid, an réiteoir, na fearainn agus an chúis a bhfuil gach ceann ann. Is é athcheangal a atáirgeann an tábla céanna an t-aon chruthúnas go bhfuil an polasaí áitiúil iomlán. Má theipeann ar fheidhmchláir fós agus an tollán in airde agus na trí thástáil rite, is é an chéad áit eile le féachaint ná an aicme fadhbanna ceangailte-ach-aslíne seachas teastais atá fíoraithe cheana.