Hvað OpenVPN route-nopull kemur í raun í veg fyrir að þjónninn ýti

Þú settir route-nopull í biðlaraforrit í von um að göngin gleypi ekki sjálfgefna leiðina þína, og nú er skrifstofuundirnetið óaðgengilegt á meðan biðlarinn segist enn vera tengdur. Báðar athuganir eru sannar, og ekkert hefur klikkað. Fáninn segir biðlaranum að sleppa leiðunum og DHCP-færslunum sem þjónninn ýtir, sem er þrengri fyrirmæli en flestir búast við þegar þeir bæta honum við. Það sem eftir stendur er vinnandi göng sem hafa enga skoðun á því hvaða áfangastaðir eigi að nota þau.

Þetta bil er öll ákvörðunin sem þessi grein fjallar um. Annaðhvort lýsir þjónninn netinu eða biðlarinn gerir það, og fáninn afhendir það verk biðlaranum án þess að gera neitt af því fyrir þig.

Hvað fáninn slokknir á við tengingu

Biðlari OpenVPN sem dregur tekur venjulega við pakka frá þjóninum eftir auðkenningu: leiðum, endurbeiningu sjálfgefna gáttar, DNS-þjónum og nokkrum stillingarleiðbeiningum. Með route-nopull í gildi samþykkir biðlarinn enn setuna, staðfestir enn skírteini, semur enn um dulritanir og keepalive og ræsir enn viðmótið. Það sem hann hendir er beiting ýttu route líðanna og ýttu dhcp-option líðanna, DNS meðtalinni.

Ruglingurinn kemur frá grænum vísir við hlið dauðs forrits. Göngin eru til; vörpun áfangastaða yfir á þau ekki. Ekkert á stöðusvæði biðlarans greinir «tengt og beinir» frá «tengt og aðgerðarlaust», því frá sjónarhóli ganganna eru bæði sama ástand.

Hvers vegna lifandi göng geta samt beint engu

Viðmótið birtist með eigið vistfang og á punkt-til-punkt tengingu er oft ekkert nákvæmara en hýsil-leið að mótaðilanum. Einkundirnet verður aðgengilegt aðeins þegar einhver leið bendir á þetta viðmót með rétta forskeytinu, og þegar ýtingunni er slökkt kemur sú leið aldrei. Sótt forritið getur venjulega ekki hjálpað heldur, því það var skrifað á forsendunni að þjónninn myndi veita nákvæmlega þessar upplýsingar. Þess vegna getur viðmótið litið heilbrigt út á meðan undirnetið er myrkt.

Að lesa forritið sannar því mjög lítið. Lestu í staðinn keyrandi stöðuna á tengdu vélinni:

ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10

Vistfang án undirnetsleiðar í seinni skipuninni er undirskrift þessa vandamáls. Þriðja skipunin svarar svo spurningunni sem notendur hafa raunverulega áhyggjur af, því hún greinir frá viðmótinu sem kjarninn myndi velja fyrir tiltekinn áfangastað frekar en listann sem þú vonaðist til að hann notaði. Ef hún svarar í gegnum líkamlegu tenginguna er göngin alls ekki á leiðinni.

Nafnaleysing mistekst af skyldri ástæðu, ekki aðskilinni. Ýttar dhcp-option DNS færslur eru sleppt af sama fánanum, svo fyrirspurnir um innri hýsla fara til þess leysir sem staðarnetið bauð upp á. Sá leysir hefur enga svæði fyrir skrifstofuna, svo fyrirspurnin mistekst eða skilar opinberu svari, og bilunin lítur út eins og þjónavandamál þótt hún sé biðlarastillingavandamál. Að prófa vistfang fyrir nafn er það sem aðgreinir þetta tvennt.

Valið á milli fánans og forskeytissíu

Báðir valkostir leysa ólíkar myndir af sömu kvörtun, og slæmt val er það sem skapar ástandið tengt-en-ónýtt. Annar skiptir ýttu stefnunni út í heild, hinn breytir henni eftir forskeyti. Taflan gefur stuttu útgáfuna, og málsgreinin á eftir nær yfir þann hluta sem kemur fólki á óvart.

pull-filter er forskeytissamsvarari með þremur sögnum, svo hann getur samþykkt línufjölskyldu, hunsað þær þegjandi eða hafnað tengingunni algjörlega þegar forskeyti birtist. Það síðarnefnda er það sem er þess virði að þekkja: höfnunarregla breytir stefnuágreiningi í misheppnað handaband í stað þegjandi sleppingar. OpenVPN 2.6 handbókin telur upp samþykkt forskeyti og nákvæma merkingu hverrar sagnar.

Algeng miðleið er að hafna aðeins redirect-gateway og leyfa skrifstofuleiðunum og DNS að koma eins og ætlað var. Það heldur ýtingunni gangandi fyrir þá hluta sem þjónninn skilur betur en þú, en kemur jafnframt í veg fyrir þá einu línu sem tæki yfir sjálfgefnu leiðina þína.

Að bæta leiðum og leysi við handvirkt

Ef þú heldur fánanum, verður forritið að segja það sem þjónninn hefði sagt. Leiðbeiningar route á biðlarahlið eru beittar eftir að tenging er komin á, svo þær virka við hlið fánans í stað þess að hann blokki þær. Settu þær í forritið, ekki á gagnvirka skipanalínu, annars endurgerir næsta endurtenging ekki vinnandi ástandið.

route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53

DNS-línan er í vandræðalegri stöðu: þetta er leiðbeining á biðlarahlið, en sumir biðlarar beita henni aðeins í gegnum DNS-samþættingu stýrikerfisins, sem getur skrifað yfir hana þegar tengingin breytist. Á systemd-hýsli er fyrirsjáanlegra að setja leysinn beint á viðmót ganganna en að vona að biðlarinn vinni forgangskeppnina:

resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.com

Beiningarlénið skiptir jafn miklu máli og vistfangið. Án þess geta fyrirspurnir um opinber nöfn líka farið til innra leysis, og hver innri leysir sem neitar endurkvæmni mun brjóta vafrið á meðan einkasvæðið heldur áfram að virka. Með því eru aðeins nöfn undir þeim viðskeyti beint til leysis ganganna og allt annað fylgir líkamlegu tengingunni.

Að athuga niðurstöðuna: vistfang, nafn og ytri leið

Þrjú próf aðgreina mögulegu bilanirnar. Sæktu einkavistfangið eftir IP, svo sama hýsilinn eftir nafni, svo venjulega opinbera síðu. IP sem virkar með nafni sem mistekst bendir á leysinn; IP sem mistekst með nafni sem virkar bendir á beiningu; ef bæði mistekst þýðir það venjulega að göngin séu ekki á leiðinni.

Líttu svo út á við frekar en inn á við. Eigin leið endapunkts ganganna verður að standast breytinguna, og hverri blokkunarbilun verður að vera afmarkað við göngin án þess að grípa endapunktinn. Biðlari sem heldur áfram að vafra eftir að göngin falla er stefnuvandamál, ekki beiningarvandamál, og það mun ekki birtast í neinu af þremur prófunum hér að ofan.

Skrifaðu lokallistann í skjöl forritsins: leiðirnar, leysinn, lénin og ástæðuna fyrir tilvist hvers og eins. Endurtenging sem endurgerir sömu töflu er eina sönnunin fyrir því að staðbundin stefna sé heildstæð. Ef forrit mistekst enn með göngin uppi og öll þrjú prófin standist, er næsti staður til að skoða flokkur vandamála um tengt-en-ótengt frekar en skírteini sem þegar hafa verið staðfest.