OpenVPN iroute oder Kernel-Route: wéi eng feelt?

E Pak fir 10.77.20.0/24 hëlt op engem OpenVPN-Server zwou getrennte Entscheedungen: d’Betribssystem muss et un d’VPN-Interface iwwerginn, an OpenVPN muss wëssen, wéi e verbonnene Client dee Präfix besëtzt. Eng feelend Kernel-Route verwerft et virum Tunnel, eng feelend Peer-Route duerno. Déi zwou Feeler gesinn aus dem wäiten LAN identesch aus, an ze diagnostizéieren, wéi eng Dir hutt, brauch een Kommando op all Säit.

Am klassischen Userspace-Datenwee bréngt d’Kernel-Route de Pak an den Tunnelprozess, an iroute seet deem Prozess, wéi e Peer en empfänke soll. Keng ersetzt déi aner, an eng Konfiguratioun mat nëmmen enger vun deenen zwee wäert vernünfteg ausgesinn bis zum éischte Ping.

Zwou Entscheedungen, net eng Route

Stellt Iech eng Verbindung vu Standuert zu Standuert vir, wou 10.77.20.0/24 hannert engem eenzegen Client läit. D’Kernel-Route vum Server, zum Beispill ip route add 10.77.20.0/24 dev tun0, schéckt déi passend Paken un den Tunnelapparat. Duerno kuckt OpenVPN seng eege intern Tabell un, déi aus iroute-Entréen am Konfiguratiounsverzeechnes vum Client opgebaut ass, fir ze entscheeden, wéi eng Peer-Verbindung se kritt. Ouni d’Kernel-Route erreecht de Pak den Prozess ni, an ouni d’Peer-Route erreecht en de Prozess a geet néierens hin.

Dee Splitt ass liicht ze vergiessen, well eng eenzeg Routezeil an engem Clientprofil ausgesäit wéi wann se déi zwou Aarbechte mécht. Dat mécht se net: eng Route drécken seet de Clienten, wat se duerch den Tunnel schécke sollen, wärend iroute dem Server seet, wien en Adressberäich hannert engem Client besëtzt. Si liewen a verschiddene Fichieren, gi vun ënnerschiddleche Säiten gelies, a schléien a géigesäitege Richtungen feel.

Wou iroute gehéiert a wat et seet

D’Entrée geet an eng Fichier pro Client, déi nom common_name vum Client genannt ass, ënner client-config-dir, als iroute 10.77.20.0/24. D’Fichiersnumm-Match ass net kosmetesch: OpenVPN sicht déi authentifizéiert Identitéit a liest d’Fichier mat genau deem Numm, also eng Fichier mam Numm site-a gëllt nëmme fir e Client, deem säi gemeinsamen Numm site-a ass. Füügt ccd-exclusive dobäi, wann Cliente ouni sou eng Fichier komplett ofgeleent solle ginn, wat déi richteg Astellung ass, wann all Client en Standuert-Gateway ass. Halt eng Fichier pro Gateway a genannt se nom Zertifikatssujet, deen Dir tatsächlech ausgëtt.

Test d’Entrée vum Server aus, ier Dir de wäite LAN beschëllegt. D’Statusfichier lëscht déi verbonne Cliente mat hire gemeinsamen Nimm op, an e Server dee mat --verb 4 leeft, logt d’Installatioun vum iroute, wann de Peer sech verbënnt. Wann näischt beim Verbannen erschéngt, ass d’Fichier am falschen Verzeechnes oder nennt déi falsch Identitéit.

D’Fal: Fichier do, falsch Identitéit

Eng korrekt ausgesinn iroute, déi um falsche Peer hänkt, kascht méi Zäit wéi eng feelend Fichier, well um Disk alles richteg ausgesäit. Zertifikatsëmbenennungen, duebel gemeinsam Nimm an username-as-common-name, dat déi effektiv Identitéit ännert, bréngen dat alles. Kontrolléiert wéi eng Identitéit de Server authentifizéiert huet, amplaz wéi eng Dir erwaart hutt: d’Statusausgab ass ausschlaggebend, de Fichiersnumm ass just e Sichschlëssel.

Eng Route kann hire Besëtzer iwwerliewe. Statesch Route an iroute-Entréen beschreiwen e Präfix, net eng Disponibilitéitsgarantie, dofir kann den Traffic weider zu engem Peer geriicht ginn, deen de Moment getrennt ass.

Maacht de Wee hannert dem Peer fäerdeg

D’Peer-Besëtzung ass d’Mëtt vum Wee, net d’Enn. De Client muss Paken aus dem Tunnel a säi LAN weiderleeden, wat bedeit, datt IP-Weiderleedung op deem Host ageschalt ass an eng Firewall-Regel den Duerchgang erlaabt. Hoste mam wäitem LAN brauchen e Réckwee fir d’Tunneladress: entweder eng Route déi zréck op de Gateway weist, oder en bewosst entworfene NAT op der Clientsäit. Bestätegt d’Weiderleedungsastellung um Client mat sysctl net.ipv4.ip_forward, amplaz eng Distributiouns-Virastellung unzehuelen.

Wann aner VPN-Cliente mussen déi Subnetz erreechen, wächst d’Arrangement nach eng Kéier: de Server brauch client-to-client, an déi Clienten mussen de Präfix duerch den Tunnel rouéieren. Naischt dovun ergëtt sech aus dem Server senger eegener Routentabell.

Verifizéiert eng Destinatioun aus enger echter Quell amplaz vum Server selwer. E Ping vun engem net verbonnene LAN-Host op en Host hannert dem Client üübt de Réckwee, d’Weiderleedungsregel an d’Peer-Besëtzung an enger Beweegung, wärend en erfollegräichen Handshake nëmmen d’Identitéit beweist. Trennt duerno dee besëtzende Peer an notéiert wat d’Route mécht, well déi Äntwert ass Äre Feelerbild.