Ënnerscheede sech importéiert VPN-Routen vum Client dee funktionnéiert? Vergläicht béid

E private Service äntwert iwwer d’VPN, während den normale Internettrafic sech komplett anescht behält wéi um Rechner vun engem Kolleg, an d’Versuchung ass, ze schléissen datt den Ubuntu-Client futti ass. Dëse Schluss spréngt ee Schrëtt. Eng funktionéierend privat Operatioun an en anere ëffentleche Wee sinn zwou Observatiounen, an den Ënnerscheed läit meeschtens an der Trafikspolitik déi all Client installéiert huet, net am Client selwer.

Déi gespäichert Konfiguratioun mat dem effektiven Netzzoustand vergläichen brauch dräi Kommandos an äntwert op d’Fro déi d’Vermutung versicht huet ze beäntweren.

Fir d’éischt de gespäicherte Profil, duerno den effektiven Zoustand

Eng importéiert OpenVPN-Verbindung gëtt en eegene NetworkManager-Profil. D’Fichier .ovpn vun där se kënnt, ass ab dem Moment wou den Import fäerdeg ass, net méi d’Quell vun der Wourecht, also ännert dat spéidert Änneren vun där Fichier näischt un der Verbindung déi Dir benotzt. Hei geet de Verglach fir d’éischt schief, an et geet stëll schief.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Liest d’UUID wann d’Nimm kollidéieren; duebel Nimm iwwerliewen Neiinstallatiounen a Profilrestauratiounen, an Dir kënnt eng Stonn domat verbréngen, d’Kopie ze änneren déi net benotzt gëtt. D’Wäerter déi Dir gesitt beschreiwen déi gespäichert Absicht: ob de Profil d’Standardroute däerf huelen, wéi eng Routen gespäichert goufen, a wéi eng Resolver an Suchdömäne gefrot ginn. Si beschreiwen net wat geschitt ass wéi d’Verbindung aktivéiert gouf, well e Plugin oder e Push vum Server en Zoustand ka bäisetzen deen de Profil net ernimmt. Dofir ass deen nächste Kommando wichteg.

Kuckt duerno wat de System tatsächlech mat där Absicht gemaach huet, inklusiv Politikregelen an all Tabell an net nëmmen déi Haapttabell. Gespäichert Eegenschafte sinn Input, an d’installéiert Tabelle sinn d’Resultat.

ip -4 rule show
ip -4 route show table all

Zwou Destinatiounen, ee Verglach

Wielt eng privat Destinatioun déi funktionnéiert an eng gewéinlech ëffentlech Destinatioun, a frot dann de Kernel wéi ee Wee jiddwereng huelen. Genau dat op béide Maschinnen ze maachen, mécht aus engem vagënn Ënnerscheed en konkreten.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

D’Adressen sinn Beispiller fir duerch Är eegen ze ersetzen; et geet ëm d’Paar, net ëm d’Zuelen. Vergläicht d’Interface, d’Quelladress an d’Tabell déi an all Ausgab genannt gëtt. Wann déi privat Recherche den Tunnel nennt an déi ëffentlech Recherche och den Tunnel nennt, hutt Dir en vollënn Tunnel an deen anere Client ka en gedeelten hunn, oder ëmgedréit.

Verlaangt net datt déi zwee Clienten identeschen Text drécken. En redirect-gateway def1 an OpenVPN gëtt meeschtens als zwou Hallef-Präfixroute ausgedréckt an net als eng Standardroute, an e Manager deen se anescht weist ass doduerch net falsch. Bewäert d’Ofdeckung, déi d’Recherchen weisen, an net d’Formatéierung.

Wou déi zwee Clienten legitimerweis ënnerschiddlech sinn

D’Standarden vun de Clienten sinn Entscheidungen an der Politik, an si däerfen sech widerspriechen. Een Produkt kann en vollënn Tunnel virzéien, en anert behält den lokalen Standard a leet nëmmen déi privat Präfixer ëm, an en drëttet follegt deem wat de Server geschéckt huet. En Ënnerscheed ass nëmmen dann e Feeler, wann en der Ufuerderung déi Dir krut widersprécht.

Vergläicht also all Client mat der geneemter Absicht vun engem gedeelten oder vollënn Tunnel, net mateneen. Wann d’Ufuerderung ass datt den private Trafic den Tunnel benotzt an de lokale Internetwee lokal bleift, dann ass en vollënn Tunnel de Bug an en gedeelten Tunnel richteg, egal wéi en Client wat gemaach huet. Schreift d’Absicht op ier Dir eng vun de Konfiguratiounen ukuckt, soss gëtt deen éischten Client deen Dir ënnersicht stëll den Standard.

DNS ass eng zweet Achs an et versot onofhängeg. Eng richteg Route ka nach ëmmer Ufroe un e Resolver schécken deen net fir d’privat Zone äntwerten kann, an e richtege Resolver reparéiert keng falsch Route. Iwwerpréift béides, a behandelt en private Numm deen sech opléist wärend eng privat Adress et net mécht als Beweis datt déi zwou Schichten getrennt geléist ginn.

Halt de Verglach propper

Betreift ee Verbindungsbesëtzer gläichzäiteg. Eng OpenVPN-Sessioun op der Kommandozeil déi nieft dem importéierte Profil leeft installéiert hir eegen Routen an hiren eegenen Resolverzoustand, an d’Mëschung déi dobäi entsteet ass d’Verhalen vun engem vun de Clienten. Huelt deen een erof ier Dir deen aneren moosst. Start nei wann Dir net sécher sidd wat nach Zoustand hält, well eng al Route vun enger Stonn virdrun genee wéi e Politikproblem ausgesäit.

Halt och alles anescht fix: deen selwechten Endpunkt, deen selwechte Kont, déi selwecht Softwareversiounen, deen selwechte Reseau. En Erfolleg um Windows-Laptop vun engem Kolleg testt en anere Client, eng aner Resolverintegratioun an eventuell en anere Serverprofil, also ass et kee Beweis iwwer den Ubuntu-Manager.

D’Referenz vun den IPv4-Astellungen vum NetworkManager definéiert never-default an déi gespäichert Routeneegenschafte präzis, wat et wäert ass ze liesen ier Dir en administréierte Wäert ännert. An erënnert Iech un de Radius vun dësem Verglach: en deckt IPv4 an seet näischt iwwer déi entspriechend IPv6-Politik, déi hir eegen Standarden an hire eigenen Aart huet Iech ze iwwerraschen.