OpenVPN бағдар өлшемі: таңдалған бағдар неге әлі де жеңіледі

Сіз профильдегі бағдарға өлшем қосып, қайта қосылдыңыз, бірақ трафик әлі де дұрыс емес интерфейс арқылы шығады. Мәселе сирек санда болады. Өлшем тек операциялық жүйе салыстырып жатқан кандидаттарды реттейді, ал нақтырақ префикс немесе ертерек саясат кестесі кез келген өлшем оқылмай тұрып шешеді.

Алдымен профильді, содан кейін орнатылған кестені, сосын таңдау ережелерін қарап шығыңыз. Бұл рет клиенттің бағдарды қалай құратынына сәйкес келеді және салыстыруға ешқашан кірмейтін мәнді реттеуден сақтайды.

Бағдар жолын өріс ретімен оқыңыз

Community OpenVPN 2.6 клиенті IPv4 route жолында төрт өрісті қабылдайды: желі, маска, шлюз және қосымша өлшем. Шлюз орнына арнайы vpn_gateway кілт сөзі қойылады. Ол осы қосылым үшін VPN жағындағы келесі секірісті білдіреді, маршруттау кестесінің нөмірі емес және физикалық маршрутизатор емес. Мұны түсінбесеңіз, жолдың қалғаны оның не істейтіні туралы қате түсінікпен оқылады. network-options анықтамасы төрт өрістің бәрін сипаттайды.

Жеке мекенжай үшін жол былай болуы мүмкін:

route-metric 50
route 172.20.0.0 255.255.0.0 vpn_gateway 30

30 сол бағдарға қолданылады, ал 50 профильде нөмірі көрсетілмеген қалған барлық бағдар үшін әдепкі мән болып қалады. Жолды солдан оңға оқу қай мәннің қайда қолданылатынын анықтауға жетеді.

route-metric — әдепкі мән, дәреже емес

route-metric өз нөмірі жоқ бағдарлар үшін қосалқы мәнді орнатады. Ол бағдарды басқа ештеңеден жоғары қоймайды және айқын өлшемдермен орнатылған бағдарларды қайта реттемейді.

Бұл айырмашылық профиль екі форманы араластырғанда маңызды. Жоғарыдағы жалғыз route-metric жолы беделді көрінеді және оны кінәлау оңай, ал трафикті шын мәнінде тасымалдайтын бағдар үш жол төменде өз өлшемін алып жүруі мүмкін.

Бір бағдар белгілі бір жолды қаласа, нөмірді сол бағдарға қойыңыз. Жасалған профильде тұрақты әдепкі мән керек болса, route-metric қолданып, жекелеген жолдарды қозғамаңыз. Себепсіз екеуін араластыру — профильдің ешкім түсіндіре алмайтын бағдарға тап болуының жолы.

Клиент не орнатқанын тексеріңіз

Қайта қосылу аяқталған соң профильден емес, ядродан сұраңыз.

ip route show клиент қосқан бағдарларды тізеді, ал ip route get 172.20.5.10 пайдалырақ сұраққа жауап береді: бұл мекенжай қай бағдарды қай бастапқы адреспен нақты пайдаланады. Егер мекенжай кестеде жоқ болса, клиент оны орнатпаған.

Жергілікті директива, сервердің push әрекеті немесе басқа желі менеджері сол префиксті қосуы немесе жоюы мүмкін, ал соңғы жазған жеңеді. Жұмыс барысында шеткі нүкте бағдарын назарда ұстаңыз, өйткені қосылымға өзі құрып жатқан туннель арқылы өтпейтін қашықтағы серверге жол қажет.

Неге кішірек өлшем әлі де ұтылады

Өлшемдер бір мекенжайға арналған бағдарларды салыстырады. Олар кең префиксті нақтырақ етпейді. redirect-gateway def1 қолданылғанда клиент 0.0.0.0/1 мен 128.0.0.0/1 орнатады, және бұл екі префикс бүкіл IPv4 кеңістігін 0.0.0.0/0-тан нақтырақ қамтиды. Әдепкі бағдардағы 1 өлшемі олардан жоғары тұра алмайды.

Дәл осы логика кез келген қабаттасатын жұпқа қатысты. Ішіндегі мекенжай үшін /24 /16-дан басым, сандар қандай болса да, өйткені іздеу ең нақты сәйкестікті бірінші таңдайды, содан кейін ғана теңдер арасында өлшемдерді салыстырады.

Бұл өлшем қатесіне ұқсайтын, бірақ олай болмайтын бөлік. Кез келген санды өзгертуден бұрын екі кандидаттағы префикс ұзындығын тексеріңіз.

Саясат ережелері кестеден бұрын орындалады

Linux-та ip rule қай маршруттау кестесінің қаралатынын шешеді. Ережелер басымдық ретімен бағаланады, сондықтан ертерек кесте негізгі кесте оқылмай тұрып бағдар қайтаруы мүмкін. Негізгі кестенің ішіндегі өлшем бірінші қаралған кестедегі сәйкестіктен жоғары тұра алмайды.

ip rule show қолданып, содан кейін нақты кестені сұраңыз, мысалы ip route show table 100, сол ереженің не қайтаратынын көру үшін. VPN клиенті немесе контейнер ортасы ереже қосса, жауап сіз оқып жүрген кестеде емес, сонда болуы мүмкін. Бастапқы адрес те маңызды, өйткені ереже қайнар көзге сәйкес келіп, туннель трафигі мен LAN трафигі үшін бір мекенжайды әртүрлі шешуі мүмкін.

Мақсатты тексеріңіз, дәрежені емес

Дауды тоқтататын сынақ — мақсатты ішкі желідегі хостқа бір сұрау және ядро таңдаған бастапқы адресті тексеру. Егер бұл жұп жобаға сай келсе, тізім таза дәрежеге ұқсамаса да, өлшем өз жұмысын істеп тұр.

IPv6 мен DNS-ті бұл тексерістен тыс қалдырыңыз. Олар басқа директивалармен конфигурацияланады және басқа механизмдермен шешіледі, ал жұмыс істеп тұрған IPv4 бағдары олар туралы ештеңе айтпайды. Қабатты бір-бірлеп өзгертіп, сұрауды қайта орындаңыз.