OpenVPN route-nopull сервердин эмнени жиберишине чындап тоскоол болот

Сиз туннель демейки маршрутуңузду жутуп албашы үчүн клиент профилине route-nopull койдуңуз, эми кеңсе ички тармагына жетүү мүмкүн эмес, ал эми клиент дагы эле туташканын айтат. Эки байкоо тең туура, эч нерсе иштебей калган жок. Желек клиентке сервер жиберген маршруттарды жана DHCP жазууларын өткөрүп жиберүүнү айтат, бул көпчүлүк күткөндөн тар көрсөтмө. Калганы — кайсы багыттар аны колдонушу керек деген пикирсиз иштеген туннель.

Ошол боштук — бул макала сөз кылган бүтүндөй чечим. Же сервер тармакты сүрөттөйт, же клиент, ал эми желек бул ишти сиз үчүн эч нерсе кылбастан клиентке өткөрүп берет.

Туташуу убагында желек эмнени өчүрөт

Тарткан OpenVPN клиенти адатта аутентификациядан кийин серверден топтом алат: маршруттар, демейки шлюзди кайра багыттоо, DNS серверлери жана бир нече жөндөө директивалары. route-nopull күчүндө болгондо клиент сессияны дагы эле кабыл алат, сертификаттарды дагы эле текшерет, шифрлер жана keepalive боюнча дагы эле сүйлөшөт жана интерфейсти дагы эле көтөрөт. Ал таштаган нерсе — жиберилген route саптарынын жана жиберилген dhcp-option саптарынын колдонулушу, DNS менен кошо.

Чаташуу өлүк колдонмонун жанындагы жашыл индикатордон келет. Туннель бар; багыттарды ошол туннелге карталоо жок. Клиенттин статус панелинде «туташкан жана маршруттайт» менен «туташкан жана аракетсиз» дегенди айырмалаган эч нерсе жок, анткени туннелдин көз карашынан экөө тең бир эле абал.

Эмне үчүн тирүү туннель эч нерсени маршруттай албайт

Интерфейс өз дареги менен пайда болот, ал эми чекит-чекит байланышында көбүнчө өнөктөшкө чейинки хост маршрутунан такыраак эч нерсе болбойт. Жеке ички тармак туура префикске ээ болгон кандайдыр бир маршрут ошол интерфейске көрсөткөндө гана жеткиликтүү болот, ал эми жиберүү өчүрүлгөндө ал маршрут эч качан келбейт. Жүктөлгөн профиль да адатта жардам бере албайт, анткени ал сервер так ушул маалыматты берет деген божомол менен жазылган. Ошондуктан интерфейс соо көрүнүшү мүмкүн, ал эми ички тармак караңгы бойдон калат.

Демек, профилди окуу азды далилдейт. Анын ордуна туташкан машинадагы иштеп жаткан абалды окуңуз:

ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10

Экинчи буйрукта ички тармак маршруту жок дарек — бул көйгөйдүн колтамгасы. Үчүнчү буйрук колдонулушу күтүлгөн тизмени эмес, белгилүү бир багыт үчүн өзөк тандай турган интерфейсти билдирип, колдонуучуларды чындап кызыктырган суроого жооп берет. Эгер ал сиздин физикалык байланышыңыз аркылуу жооп берсе, туннель жолдо такыр жок.

Аттарды чечүү байланыштуу себептен ишке ашпайт, өзүнчө себептен эмес. Жиберилген dhcp-option DNS жазуулары ошол эле желек менен өткөрүп жиберилет, андыктан ички хосттор боюнча суроолор жергиликтүү тармак берген чечүүчүгө барат. Ал чечүүчүдө кеңсе үчүн зона жок, ошондуктан суроо ишке ашпайт же жарыя жооп кайтарат, ал эми бузулуу сервер көйгөйүндөй көрүнөт, чынында бул клиент конфигурациясынын көйгөйү. Аттан мурун даректи сыноо — экөөнү ажыратат.

Желек менен префикс фильтринин ортосундагы тандоо

Эки вариант бир эле нааразычылыктын ар башка формаларын чечет, ал эми жаман тандоо «туташкан, бирок пайдасыз» абалын жаратат. Бирөө жиберилген саясатты толугу менен алмаштырат, экинчиси аны префикс боюнча оңдойт. Таблица кыскача версияны берет, ал эми андан кийинки абзац адамдарды таң калтырган бөлүгүн камтыйт.

pull-filter үч этиши бар префикс дал келтиргич, ошондуктан ал саптардын үй-бүлөсүн кабыл ала алат, аларды үнсүз этибарга албайт же префикс пайда болгондо туташууну такыр четке кагат. Дал акыркы жүрүм-турумду билүү керек: баш тартуу эрежеси саясий келишпестикти үнсүз калтыруунун ордуна ишке ашпаган кол алышууга айландырат. OpenVPN 2.6 колдонмосу кабыл алынган префикстерди жана ар бир этиштин так маанисин тизмелейт.

Кеңири таралган орто жол — redirect-gateway гана четке кагуу жана кеңсе маршруттары менен DNSтин ниет боюнча келишине жол берүү. Бул жиберүүнү сервер сизден жакшы түшүнгөн бөлүктөр үчүн иштеп турат жана ошол эле учурда демейки маршрутуңузду ээлеп ала турган ошол бир сапты болтурбайт.

Маршруттарды жана чечүүчүнү кол менен кошуу

Эгер желекти калтырсаңыз, профиль сервер айта турган нерсени айтышы керек. Клиент тараптагы route директивалары туташуу орногондон кийин колдонулат, ошондуктан алар желек менен бирге иштейт, ал аларды бөгөттөбөйт. Аларды профилге коюңуз, интерактивдүү буйрук сабына эмес, болбосо кийинки кайра туташуу иштеген абалды кайталабайт.

route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53

DNS сабы ыңгайсыз жерде турат: бул клиент тараптагы директива, бирок айрым клиенттер аны платформанын DNS интеграциясы аркылуу гана колдонушат, ал байланыш өзгөргөндө анын үстүнөн жазышы мүмкүн. systemd хостунда чечүүчүнү туннель интерфейсине түз коюу клиенттин артыкчылык жарышында жеңишин күтүүгө караганда болжолдуураак:

resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.com

Маршруттоо домени дарек сыяктуу эле маанилүү. Ансыз жарыя аттар боюнча суроолор ички чечүүчүгө да жиберилиши мүмкүн, ал эми рекурсиядан баш тарткан ар кандай ички чечүүчү жеке зонаны иштеп турган бойдон серептөөнү бузат. Аны менен гана ошол суффикстин астындагы аттар туннель чечүүчүсүнө багытталат, калганы физикалык байланышты ээрчийт.

Жыйынтыкты текшерүү: дарек, ат жана сырткы жол

Үч сыноо мүмкүн болгон бузулууларды ажыратат. Адегенде IP боюнча жеке даректи алыңыз, анан ошол эле хостту аты боюнча, анан жөнөкөй жарыя сайтты алыңыз. Иштеген IP ийгиликсиз ат менен чечүүчүгө көрсөтөт; ийгиликсиз IP иштеген ат менен маршруттоого көрсөтөт; экөө тең ийгиликсиз болсо, адатта туннель жолдо жок.

Андан кийин ичке эмес, тышка караңыз. Туннелдин акыркы чекитинин өз маршруту өзгөрүүгө туруштук бериши керек, ал эми ар кандай тоскоолдук бузулуу акыркы чекитти кармабастан туннел менен чектелиши керек. Туннель кулагандан кийин да серептөөнү уланткан клиент — маршруттоо эмес, саясат көйгөйү, жана ал жогорудагы үч сыноонун биринен да көрүнбөйт.

Акыркы тизмени профилдин документтерине жазыңыз: маршруттар, чечүүчү, домендер жана ар биринин болушунун себеби. Ошол эле таблицаны кайталаган кайра туташуу — жергиликтүү саясаттын толуктугунун жалгыз далили. Эгер туннель көтөрүлүп, үч сыноо тең өтсө да колдонмолор ийгиликсиз болсо, кийинки карай турган жер — буга чейин текшерилген сертификаттар эмес, «туташкан, бирок офлайн» көйгөйлөрүнүн классы.