route-gateway er ekki redirect-gateway: hvað breytist í raun
Valkosturinn veitir aðeins næsta stökk fyrir leiðirnar sem OpenVPN setur upp. Að fjarlægja hann slokknir ekki á þrýstum fullum göngum, og lagfæringin tilheyrir endurbeiningunni.
Göngin þín koma upp, einkanetið svarar, og venjuleg vafran skrifast enn inn í VPN þótt einhver hafi eytt hliðarlínunni úr sniðinu. Þessi samsetning er fingrafar rangrar tilskipunar sem var breytt. Það sem var fjarlægt gaf biðlarans næsta stökk fyrir leiðirnar sem hann setur upp; það sem hélt áfram að grípa umferð kom annars staðar frá og var þrýst af netþjóninum. Dekkun og næsta stökk eru aðskilin verkefni, og aðeins annað þeirra ræður hvort opinberir áfangastaðir nota göngin.
Línan sem þú fjarlægðir var næsta stökk, ekki stefnurofi
Önnur hver leið sem biðlarinn setur upp þarf hliðarfang til að benda á, og hliðartilskipunin er uppspretta þess fangs þegar leið nefnir ekki sitt eigið. Eyddu henni og þessar leiðir hafa ekkert til að festast við, svo þær annaðhvort setjast ekki upp eða lenda á slóð sem liggur hvergi. Einkanetið er einmitt það sem slík leið bar.
Á meðan hefur hegðunin sem lifði af annan höfund: endurbeiningarvalkost í þrýsta blokkinni, sem færir venjulega útleið umferðar inn í göngin samkvæmt fánaliðunum. Að fjarlægja hliðið hvorki slokknir á henni né veikir hana. Niðurstaðan er versta af báðum ástandum, með opinbera umferð enn gripið og einkáfangastaðinn sem réttlætti göngin nú óaðgengilegan. Þess vegna breytir seinni breytingin, gerð í sama anda, heldur engu.
Fjórir stangir, fjögur mismunandi verk
Fjórar tilskipanir eru vitnaðar til skiptis í þessari umræðu, og aðeins ein þeirra stýrir dekun, það er hvaða áfangastaðir fara yfirhöfuð í gegnum göngin. Önnur setur næsta stökk sem leiðirnota, þriðja setur upp eitt forskeyti, og fjórða hendir öllu sem netþjóninum þrýsti, þar með taldar einkaleiðirnar sem uppsetningin þarf. Taflan raðar þeim eftir því sem stjórnandi er að reyna að breyta, ekki eftir nafni, því nöfnin eru það sem veldur ruglingnum. Líttu á þær sem fjórar aðskildar ákvarðanir og veldu þá sem þú vilt í raun bakka við.
Í reynd koma allar fjórar oft í einni þrýstri blokk, línu eftir línu, sem lætur þær líta út eins og hluta af einni stillingu. Það eru þær ekki, og OpenVPN-viðmiðin skrá þær sem aðskilda vélbúnað af einmitt þeirri ástæðu. Að komast að því hvaða ákvörðun þú ert að bakka við er verkið; breytingin er ein lína.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Síaðu þrýstu línuna, haltu næsta stökki
Ef dekunin sem þú mótmælir kemur sem þrýstur valkostur, er þrönga svarið að hunsa þann valkost eftir nafni og láta afganginn af þrýstu blokkinni ósnortinn. Skrifað sem sía lítur það út eins og línan hér fyrir neðan, og það á heima í sniði viðkomandi biðlara, ekki í stillingum netþjónsins.
pull-filter ignore "redirect-gateway"Þrengdin er málið. Vegna þess að sían ber saman textaforskeyti passar styttra mynstur líka við tilskipun næsta stökks, sem flysjar nákvæmlega þær upplýsingar sem einkaleiðirnar treysta á og endurtekur upprunalegu mistökin í nýjum búningi. Sía verkar líka aðeins á þrýsta valkosti, svo hún snertir aldrei jafngilda línu sem er skrifuð á staðnum eða þvinguð af netstjóra. Tengdu aftur eftir það, því lifandi lota endurmetur ekki það sem netþjóninum þrýsti.
Lestu leitina, ekki töfluna
Eftir að hafa endurhlaðið sniðið skaltu spyrja kjarnann hvar tveir áfangastaðir myndu í raun fara: einn innan einkaforskeytisins og einn á opinberu netinu. Fullur afrit af aðaltöflunni er erfiðari að lesa og auðveldari að lesa rangt, því leið getur verið til og samt tapað gegn nákvæmara samsvari. Við stefnumiðaða leiðstýringu eiga reglan, taflan og upprunafangið líka heima í athuguninni.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showdef1-afbrigðið á skilið kunnugleika, því það lætur gömlu sjálfgefnu færsluna vera sýnilega á meðan par af hálfsjálfgefnum vinnur leitina. Því sannar lína 0.0.0.0/0 í úttakinu ekkert eitt og sér. Leitin svarar spurningunni sem listinn virðist aðeins svara.
DNS, IPv6 og einkaleiðin verða enn að virka
Að hafna einni IPv4-endurbeiningu segir ekkert um uppflettinguna, svo þrýstur DNS-valkostur getur haldið áfram að senda fyrirspurnir í göngin á meðan leiðirnar líta rétt út. Sjálfgefið IPv6 getur gert það sama fyrir fangafjölskyldu sem IPv4-athugunin snerti aldrei. Bæði þurfa skýra ákvörðun í stað forsendu. Staðfestu svo að einkaþjónustan svari enn, því klofið göng sem misstu einkaleiðina eru ekki klofið göng, þau eru brotin.
Eitt víðara tól á skilið viðvörun: route-nopull hendir hverri þrýstri leið og hverjum þrýstum DNS-valkosti, sem stöðvar vissulega fullu göngin og brýtur jafn vissulega einkaleiðirnar sem uppsetningin treystir á, svo það er mun stærri hamar en nafnasía sem beinist að einum valkosti. Athugaðu einkáfangastaðinn, opinberan áfangastað og uppflettinguna eftir hverja breytingu, og líttu á lokið handaband sem sönnun fyrir engu nema handabandinu.