OpenVPN iroute eða kjarnaleið: hvor vantar?

Pakki fyrir 10.77.20.0/24 tekur tvær aðskildar ákvarðanir á OpenVPN-þjóni: stýrikerfið verður að afhenda hann VPN-viðmótinu, og OpenVPN verður að vita hvaða tengdi biðlari á þann forskeyti. Kjarnaleið sem vantar hendir honum fyrir göngin, og jafningjaleið sem vantar hendir honum á eftir. Bæði mistökin líta eins út frá fjarlæga LAN-inu, og að greina hvort þú hefur krefst einnar skipunar á hvorri hlið.

Á hinni klassísku gagnaleið í notendarými kemur kjarnaleiðin pakkanum inn í gönguferlið, og iroute segir þeim ferli hvaða jafningi eigi að taka við honum. Hvort um sig kemur ekki í stað hins, og uppsetning sem ber aðeins annað þeirra mun líta skynsamlega út þangað til fyrsta ping.

Tvær ákvarðanir, ekki ein leið

Ímyndaðu þér tengingu milli staða þar sem 10.77.20.0/24 er bak við einn biðlara. Kjarnaleið þjónsins, til dæmis ip route add 10.77.20.0/24 dev tun0, sendir samsvarandi pakka til göngutækisins. Síðan flettir OpenVPN upp í sinni eigin innri töflu, byggðri á iroute færslum í stillingarmöppu biðlarans, til að ákveða hvaða jafningjatenging fái þá. Án kjarnaleiðarinnar nær pakkinn aldrei til ferlisins, og án jafningjaleiðarinnar nær hann til ferlisins og fer hvergi.

Þessa skiptingu er auðvelt að gleyma, því ein leiðarlína í biðlarasniði getur litið út fyrir að leysa bæði verkefnin. Hún gerir það ekki: að ýta leið segir biðlurum hvað eigi að senda um göngin, á meðan iroute segir þjóninum hver á slóðasvið bak við biðlara. Þau búa í mismunandi skrám, eru lesin af mismunandi hliðum og mistakast í gagnstæðar áttir.

Hvar iroute á heima og hvað það segir

Færslan fer í skrá fyrir hvern biðlara sem heitir eftir common_name biðlarans, undir client-config-dir, sem iroute 10.77.20.0/24. Skrárnafnasamsvörunin er ekki snyrtileg: OpenVPN flettir upp sannvottaðri auðkenningu og les skrána með nákvæmlega því nafni, svo skrá sem heitir site-a gildir aðeins fyrir biðlara sem heitir site-a að almennu nafni. Bættu ccd-exclusive við ef hafna á biðlurum án slíkrar skrár alfarið, sem er rétta stillingin þegar hver biðlari er staðarhlið. Haltu einni skrá fyrir hverja hlið og nefndu hana eftir því skírteinisefni sem þú gefur í raun út.

Prófaðu færsluna frá þjóninum áður en þú kennir fjarlæga LAN-inu um. Stöðuskráin listar tengda biðlara með almennum nöfnum sínum, og þjónn sem keyrir með --verb 4 skráir uppsetningu iroute þegar jafninginn tengist. Ef ekkert birtist við tengingu er skráin í rangri möppu eða nefnir ranga auðkenningu.

Gildran: skráin er til, auðkenningin röng

iroute sem lítur rétt út en er fest við rangan jafningja eyðir meiri tíma en skrá sem vantar, því allt á diskinum lítur rétt út. Endurnefning skírteina, tvítekin almenn nöfn og username-as-common-name sem breytir virkri auðkenningu framleiða þetta öll. Athugaðu hvaða auðkenningu þjónninn sannvottaði í stað þeirrar sem þú bjóst við: stöðuúttakið er ráðandi, en skrárnafnið er aðeins leitarlykill.

Leið getur lifað eiganda sínum lengur. Slóðleiðir og iroute færslur lýsa forskeyti, ekki ábyrgð á framboði, svo umferð getur haldið áfram að beinast að jafningja sem er nú ótengdur.

Ljúktu leiðinni handan jafningjans

Eignarhald jafningjans er miðja leiðarinnar, ekki endir hennar. Biðlarinn verður að senda pakka úr göngunum inn í LAN-ið sitt, sem þýðir að IP-framsending sé virk á þeim vélarhýsing og eldveggjarregla leyfi gegnumflæðið. Vélarhýsingar í fjarlæga LAN-inu þurfa afturleið fyrir gönguslóðina: annaðhvort leið sem vísar aftur að hliðinu eða viljandi NAT-hönnun á biðlarahlið. Staðfestu sendingarstillinguna á biðlaranum með sysctl net.ipv4.ip_forward í stað þess að gera ráð fyrir sjálfgefnu gildi dreifingarinnar.

Ef aðrir VPN-biðlarar þurfa að ná í þetta undirnet vex fyrirkomulagið aftur: þjónninn þarf client-to-client, og þeir biðlarar þurfa að leiða forskeytið um göngin. Ekkert af þessu fylgir eigin leiðatöflu þjónsins.

Staðfestu einn áfangastað frá raunverulegri uppsprettu í stað þjónsins sjálfs. Ping frá ótengdri LAN-vélarhýsingu til vélarhýsingar bak við biðlarann æfir afturleiðina, sendingarregluna og eignarhald jafningjans í einni hreyfingu, en árangursrík handaband sannar aðeins auðkenningu. Aftengdu þá jafningjann sem á og skráðu hvað leiðin gerir, því það svar er bilunarmáti þinn.