VPN көчүп кетти: эмне үчүн сиздин OpenVPN кардарыңыз дагы эле эски IP-ге чалып жатат

Провайдер сиздин жарыя дарегиңизди өзгөрттү, сиз динамикалык DNS жазуусун жаңырттыңыз, бирок кардар дагы эле туташа албайт. Сырттан жазуу тарабай калгандай көрүнөт. Көбүнчө жазуу тартибинде жана кардар көчүрүүгө чейин чечкен дарекке чалат, анткени иштеп жаткан туннелдин жана сакталган профилдин ар биринин сервер кайда жашайт деген өз түшүнүгү бар. Үч катмар макулдашы керек жана алар ар кандай график менен жаңырат.

DNS эмне дейт дегенди эмес, профил эмнеге чалып жатканын караңыз

Чындап колдонуп жаткан туташууңузду ачып, remote сабын окуңуз. Ал жердеги сандык дарек жазуу канчалык туура болбосун, хост аталышынын жаңырышын эч качан ээрчибейт.

Андан кийин сиз түзөткөн профил кардар жүктөгөн профил экенин текшериңиз. Импорттолгон профилдер кеңири таралган: администратор бир нече ай мурун көчүрмө алып, өз версиясын сактап калышы мүмкүн, ошондуктан жүктөө папкаңыздагы файл менен колдонмодогу жазуу айырмаланышы мүмкүн. DNS-ти оңдоону баштаардан мурун кардардын өз туташуу маалыматтарындагы акыркы чекитти салыштырыңыз.

Эки файл, бир акыркы чекит — бул жерде көп кездешкен жыйынтык.

grep -nE '^remote|^resolv-retry|^persist-remote-ip|^float' client.ovpn
printf 'resolver says: '; dig +short vpn.example.net

Кардардын кийинки туташуу аракетин окуңуз

Туташууну кеңири журнал менен кайра баштап, ал байланыша турган дарек аталган сапты окуңуз. Ошол маани маанилүү, браузериңиз чечкен нерсе эмес.

Чечүүчүнүн кэши мурунку жоопту дагы сакташы мүмкүн жана кээ бир тармактар аны жазуунун TTL талап кылганынан узак сактайт. Башка жерден сынаган жарыя чечүүчүгө эмес, кардар чындап колдонгон чечүүчүгө суроо жөнөтүңүз.

Эгер журнал жаңы даректи көрсөтүп, туташуу дагы эле ишке ашпаса, маселе жылып кетти: пакет бир жакка баратат жана эч ким жооп бербейт. Бул угуучу, файрвол же портту өткөрүп берүү маселеси жана ал кардардын чечүү жолунда эмес, сервер тарапта. Бул эки ийгиликсиздикти өзүнчө кармаңыз, анткени жеткиликсиз угуучуну DNS маселеси катары кароо сизди ошол эле циклден эки жолу өткөрөт.

Кайсы кайра баштоону жасап жатканыңызды билиңиз

Бардык кайра баштоолор бирдей абалды сактабайт, ошондуктан дарек өзгөрүүсү процесстин кантип кайра иштетилишине жараша башкача жүрүшү мүмкүн. Сигнал менен башталган жумшак кайра баштоо мурунку сессиянын контекстин көбүрөөк сактайт, ал эми толук токтотуу жана баштоо кайрадан конфигурациядан башталат. Кардар кайра чечерин текшерип жатсаңыз, сизге конфигурациядан башталган жол керек.

Туруктуулук жөндөөлөрү да маанилүү, анткени алар жаңы даректердин артынан түшүү үчүн эмес, аутентификацияланган нерсени сактоо үчүн түзүлгөн.

Эң таза сыноо — көздөлгөн профилден жаңыдан баштоо, анан акыркы чекитти атаган журнал сабына көз чаптыруу. Жарым сакталган сессиядан үйрөнгөнүңүз ошол сессия тууралуу билдирүү.

Төрт параметр жана алардын өзүнчө иштери

Хост аты менен remote — кайра чечүүнү такыр мүмкүн кылган жөндөө; ошол саптагы түз дарек аны жокко чыгарат. resolv-retry издөө ийгиликсиз болгондо эмне болорун көзөмөлдөйт жана 2.6 аны демейки боюнча чексиз кылып коёт. Ошондуктан аны кошуу эч нерсени өзгөртпөйт жана ал башка жооп үчүн мезгилдик текшерүүнү эч качан пландаштырбайт. Ал жаңы даректерди сурайт деген адам калыбына келтирүү менен жаңылыкты аралаштырган.

persist-remote-ip жаңылык эмес, үзгүлтүксүздүк тууралуу: ал акыркы жолу аутентификацияланган акыркы чекитти, өзү колдогон жумшак кайра баштоолор бою кайра колдонот. Көчүүнү сынап жатканда бул каалаган нерсеңизге каршы. Курулушуңуз аны күйгүзсө, сыноо үчүн өчүрүңүз, анан жаңы акыркы чекит далилденгенден кийин кайра күйгүзүңүз. Күйүк калтырылса, ийгиликтүү кайра туташуу DNS тууралуу сизге эч нерсе айтпашы мүмкүн.

float сессиянын ортосунда дареги өзгөргөн аутентификацияланган өнөктөштү кабыл алат жана аны колдогон конфигурацияларда гана. Ал DNS-ти жаңыртпайт жана провайдердин өзгөрүүсүн өз алдынча ээрчибейт. Аны кыдырып жүргөн өнөктөштөр үчүн туруктуулук функциясы катары караңыз, серверлер үчүн динамикалык дарек механизми катары эмес.

Кардарды күнөөлөөрдөн мурун жаңы акыркы чекитти ырастаңыз

Тармагыңыздын сыртынан жаңы даректе конфигурацияланган портто угуучу бар экенин жана провайдердин өткөрүп берүүсү ошого багытталганын текшериңиз. Ачык порту жок машина үчүн туура A жазуусу адамдар кэшке таштаган симптомдун дал өзүн жаратат.

Анан кайра туташып, эки нерсени ырастаңыз: кардар күтүлгөн сервер сертификатына каршы аутентификацияланды жана сессия сиз көздөгөн ресурска жетет. Даректин өзгөрүшү инсандык талаптарды төмөндөтпөйт жана туура эмес акыркы чекитке ийгиликтүү туташуу ийгиликсиз болгондон жаман. OpenVPN 2.6 колдонмосу төрт параметрдин баарын өзүнүн алкагы менен тизмелейт жана профилдин жанында кармоо керек болгон текшерүү тизмеси ушул.

Административдик кирүүңүздү алып жүргөн туннелди кайра баштаардан мурун серверге тилкеден тышкаркы жолду кармаңыз. Ошол бир сактык бул сценарий жараткан окуялардын көбүн алдын алат.