Hiányzó VPN-útvonal a NetworkManagerben: profil-szabályzat vagy szkript?

Csatlakozik, megjelenik az alagút interfésze, és egy szükséges előtag egyszerűen nincs a táblában. A következő lépés általában egy olyan szkript keresése, amely hozzáadja. Ez a keresés olyan válaszokhoz vezet, amelyek egy OpenVPN segédet illesztenek a profilba, és ezeknek a válaszoknak a fele inkább ront a helyzeten, mint javít, mert egy hiányzó útvonalnak három lehetséges gazdája van, és közülük csak egy hiányzó szkript.

Döntse el, melyik gazda felelős, mielőtt bármit írna.

Három gazda, egy hiányzó előtag

Az előtag hiányozhat, mert senki nem szolgáltatta, mert a profil elutasította, vagy mert olyan helyre telepítették, ahol nem néz. Ezek különböző hibák, és különböző javításuk van.

Az elsőt a legkönnyebb ellenőrizni: kínálta-e a kiszolgáló vagy a beépülő valaha az útvonalat? Egy háttérrendszer, amely soha nem kapta meg az előtagot, nem tudja telepíteni, és egy segédszkript nem tud olyan elérhetőséget kitalálni, amelyet a partner soha nem írt le. A második a profil-szabályzat, amely elnyomhat olyan útvonalakat, amelyeket a kapcsolat egyébként felvenne. A harmadik egy tábla vagy szabály, amely olyan helyen tarthatja az útvonalat, amelyet az alapértelmezett keresés soha nem néz meg.

A negyedik gazda ön, később: egy szkript, amely csatlakozáskor hozzáadja az útvonalat, de bontáskor nem távolítja el. Ez olyan előtagot hoz létre, amely túléli az alagutat, egy halott interfészre mutat, és összezavarja a következő embert, aki a gépet hibakeresi.

Olvassa el a profilt, mielőtt bármit hozzáadna

Kezdje a mentett kapcsolat saját tulajdonságaival. Olvassa el őket titkok kiömlése nélkül, és használja az UUID-t, ha a profil neve kétértelmű.

nmcli -f vpn.service-type,ipv4.never-default,ipv4.ignore-auto-routes,ipv4.route-table,ipv4.routes connection show office

vpn.service-type megmondja, melyik háttérrendszer birtokolja a kapcsolatot, és ez számít, mert a beépülő adatai háttérrendszer-specifikusak. Az egyik beépülő által elfogadott kulcs nem támogatott utasítás egy másik számára, ezért egy másik kliens dokumentációjából másolt részlet semmit sem bizonyít.

ipv4.ignore-auto-routes és ipv4.never-default különböző kérdésekre válaszolnak. Az első elutasíthat olyan útvonalakat, amelyeket a kapcsolat egyébként automatikusan felvenne, a második pedig azt szabályozza, hogy a profil lehet-e az alapértelmezett útvonal. Egy profil, amely figyelmen kívül hagyja az automatikus útvonalakat, és semmi másra nem támaszkodik, tisztán csatlakozik, és szinte semmit nem telepít.

ip -4 rule show
ip -4 route show table all

Ez a két parancs eldönti a harmadik lehetőséget. Keresse az előtagot minden táblában, nem csak a main-ben, és ellenőrizze, hogy egy házirend-szabály máshová küldi-e a vonatkozó keresést. Ha az előtag egy másik táblában van, és semmi nem nézi meg, akkor nincs hiányzó útvonala; van egy keresése, amely soha nem ér el hozzá.

Amit egy szkript nem tud rendbe hozni

Egy segédszkript hozzáadása programot ad a NetworkManager vpn.data mezőjének futtatásra. Ez valódi mechanizmus, és a legtöbb ilyen esetben a rossz, mert a szkript akkor kap vezérlést, amikor a profil saját szabályzata már eldöntötte, mit fogadjon el.

Az OpenVPN script-security a másik visszatérő félreértés. Ez egy OpenVPN-beállítás, amely szabályozza, mely szkripteket futtathat a kliens, és mit tehet azok környezetébe; a 3-as szint engedélyezi a hitelesítő adatok környezeten keresztüli átadását, ami titkok kezeléséről szóló döntés, nem útvonal-javítás. Ha olyan profilba illeszti, amelynek háttérrendszere nem OpenVPN, vagy megemeli, amikor egyetlen szkriptnek sincs rá szüksége, kitettséget ad hozzá útvonal nélkül.

Aztán ott van az újraindítási reflex. A NetworkManager szolgáltatás újraindítása minden kezelt kapcsolatot lebont és újraépít, beleértve azt is, amelyen keresztül csatlakozik, ha távolról dolgozik. Ez zavaró művelet, nem ártalmatlan diagnosztika, és egy kiszolgálón ez lehet a különbség egy túlélő és egy nem túlélő munkamenet között.

A döntés, sorrendben

Tegyen fel három kérdést egymás után. Szolgáltatta-e a partner az előtagot, amit a háttérrendszer naplója vagy saját állapotkimenete megmutat? Ha igen, a profil úgy van beállítva, hogy elfogadja és telepítse az útvonalakat, vagy elnyomja őket? Ha az útvonal valahol létezik, a keresési útvonal megfelelő-e a tesztelt forgalomhoz?

Csak akkor védhető egy kiegészítő szkript, ha az első válasz igen, a második igen, és a harmadik helyes, és még akkor is meg kell kérdezni, hogy a háttérrendszer natívan támogatja-e az útvonalat. A VPN-beállítások referenciája dokumentálja a service-type elemet és a beépülő-specifikus adatszótárt, és ott érdemes kezdeni, mielőtt feltételezi, hogy egy kulcs létezik.

Jóváhagyott javítás után csatlakozzon újra, és tesztelje a célt cím alapján, majd név alapján, aztán bontsa a kapcsolatot, és csatlakozzon újra, hogy megerősítse: az állapot megismételhető. Egy gazda, egy tábla és az alagúttal eltűnő útvonal az az eredmény, amely megéri.