Uvezene VPN rute razlikuju se od klijenta koji radi? Usporedite oboje

Neke privatne usluge odgovaraju kroz VPN, dok se obični internetski promet ponaša posve drugačije nego na koleginu računalu, pa se nameće zaključak da je Ubuntu klijent pokvaren. Taj zaključak preskače jedan korak. Ispravna privatna operacija i drukčija javna putanja dva su opažanja, a razlika obično leži u prometnoj politici koju je svaki klijent instalirao, a ne u samom klijentu.

Usporedba spremljene konfiguracije sa stvarnim stanjem mreže traje tri naredbe i odgovara na pitanje na koje je nagađanje pokušavalo odgovoriti.

Najprije spremljeni profil, zatim stvarno stanje

Uvezena OpenVPN veza postaje zaseban NetworkManager profil. Datoteka .ovpn iz koje je došla prestaje biti izvor istine u trenutku kad se uvoz dovrši, pa naknadno uređivanje te datoteke ništa ne mijenja na vezi koju rabite. Ovo je prvo mjesto gdje usporedba pođe po zlu, i pođe po zlu tiho.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Pročitajte UUID kad se imena poklope; duplicirana imena prežive reinstalacije i vraćanja profila, a možete potrošiti sat uređujući kopiju koja se ne rabi. Vrijednosti koje vidite opisuju spremljenu namjeru: smije li profil uzeti zadanu rutu, koje su rute spremljene i koje rezolvere i domene pretraživanja traži. Ne opisuju što se dogodilo pri aktivaciji veze, jer dodatak ili pritisak poslužitelja može dodati stanje koje profil ne spominje. Zato je sljedeća naredba važna.

Zatim pogledajte što je sustav doista učinio s tom namjerom, uključujući pravila politike i sve tablice, a ne samo glavnu. Spremljena svojstva su ulaz, a instalirane tablice su rezultat.

ip -4 rule show
ip -4 route show table all

Dva odredišta, jedna usporedba

Odaberite jedno privatno odredište koje radi i jedno obično javno odredište, pa pitajte jezgru koju bi putanju svako uzelo. Upravo to na oba stroja pretvara nejasnu razliku u konkretnu.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Adrese su primjeri koje zamjenjujete svojima; poanta je u paru, ne u brojevima. Usporedite sučelje, izvornu adresu i tablicu navedenu u svakom izlazu. Kad privatna pretraga navede tunel i javna također navede tunel, imate puni tunel, a drugi klijent možda ima podijeljeni, ili obrnuto.

Ne zahtijevajte da dva klijenta ispišu identičan tekst. U OpenVPN-u se redirect-gateway def1 obično izražava kao dvije rute s pola prefiksa umjesto jedne zadane, a upravitelj koji ih prikazuje drukčije nije zbog toga pogrešan. Procijenite pokrivenost, koju pretrage pokazuju, a ne oblikovanje.

Gdje se dva klijenta legitimno razlikuju

Zadane vrijednosti klijenta politički su izbori i smiju se razlikovati. Jedan proizvod može preferirati puni tunel, drugi može zadržati lokalnu zadanu vrijednost i usmjeravati samo privatne prefikse, a treći može slijediti ono što je poslužitelj poslao. Razlika je nedostatak samo kad proturječi zahtjevu koji ste dobili.

Zato usporedite svaki klijent s odobrenom namjerom podijeljenog ili punog tunela, a ne jedan s drugim. Ako je zahtjev da privatni promet rabi tunel, a lokalna internetska putanja ostane lokalna, tada je puni tunel greška, a podijeljeni tunel ispravan, bez obzira na to koji je klijent što učinio. Zapišite namjeru prije nego što pogledate bilo koju konfiguraciju, inače prvi klijent koji pregledate tiho postaje standard.

DNS je druga os i pada neovisno. Ispravna ruta ipak može slati upite rezolveru koji ne može odgovoriti za privatnu zonu, a ispravan rezolver ne popravlja pogrešnu rutu. Provjerite oboje i tretirajte privatno ime koje se razrješava dok se privatna adresa ne razrješava kao dokaz da se dva sloja rješavaju odvojeno.

Održite usporedbu čistom

Pokrenite jednog vlasnika veze u jednom trenutku. OpenVPN sesija iz naredbenog retka koja radi pokraj uvezenog profila instalira svoje rute i svoje stanje rezolvera, a dobivena mješavina nije ponašanje nijednog od dva klijenta. Ugasite jednu prije nego što mjerite drugu. Ponovno podignite sustav ako niste sigurni što još drži stanje, jer zastarjela ruta od prije sat vremena izgledat će točno kao problem s politikom.

Držite i sve ostalo fiksno: isti endpoint, isti račun, iste verzije softvera, ista mreža. Uspjeh na koleginu prijenosniku s Windowsom testira drugi klijent, drugu integraciju rezolvera i vjerojatno drugi profil poslužitelja, pa nije dokaz o Ubuntu upravitelju.

NetworkManagerova referenca za IPv4 postavke precizno definira never-default i spremljena svojstva ruta, što vrijedi pročitati prije nego što promijenite upravljanu vrijednost. I zapamtite opseg ove usporedbe: pokriva IPv4 i ne govori ništa o odgovarajućoj politici IPv6, koja ima svoje zadane vrijednosti i svoj način da vas iznenadi.