OpenVPN: déi lokal Adress géint d’Tunneladress – zwee verschidde Sockets

De Client refuséiert ze starten a beschwéiert sech, datt hien eng lokal Adress net ka binden, an déi naheliegend Léisung gesäit aus wéi wann een en op d’Tunneladress weist, déi hie erwaart. Dat kann net funktionéieren, an de Grond ass et wäert ze verstoen: ier den Tunnel existéiert gëtt et keng bannenzeg Adress, an de Socket, deen de Server kontaktéiert, muss als éischten do sinn. Et si zwou verschidden Adressen am Spill, an nëmmen eng dovun kann lokal gewielt ginn.

De Bind-Feeler nennt eng lokal Adress

Wann OpenVPN mellen, datt et keng lokal Adress ka binden, ass et vum Transportsocket am Gespréich: dem UDP- oder TCP-Endpunkt, deen d’verschlësselt Verbindung zum Peer dréit.

Eng explizit local-Direktiv freet den Daemon, dee Socket un eng bestëmmt lokal Adress ze binden. D’Adress muss an deem Netzwerk-Namensraum sinn, an deem de Prozess leeft, an et muss zu deem Moment zouweisbar sinn, wann de Client start.

Eng ëffentlech Adress, déi op engem Router oder um Cloudrand iwwersat gëtt, ass keng lokal Adress, déi den Daemon ka binden, och wann et déi Adress ass, déi de Server gesäit. Dee Grond ënnerscheed erkläert, firwat ee Profil doheem funktionéiert an op enger Cloud-Instanz feelt. E erkläert och, firwat et net hëlleft, déi ëffentlech Adress op eng Loopback-Schnittstell ze setzen, well den Transport dann vun enger Adress ausgéing, op déi den Netz net äntweren kann. Lies d’Schnittstelllëscht, ier s de Profil änderst.

Wat local a remote tatsächlech auswielen

remote nennt de Peer, dee kontaktéiert soll ginn. local bindt de noen Enn vum selwechte Socket. nobind léisst dem Betribssystem d’Wiel vun der lokaler Adress an dem Port, dofir funktionéiere Clienten hannert Heemrouter normalerweis ouni béid Direktiven.

Keng vun den zwou Direktive huet eppes mat der Adress bannent dem Tunnel ze dinn.

An engem Container oder engem Netzwerk-Namensraum gëllt déiselwecht Regel mat méi enken Grenzen: d’Adresse vum Host sinn dobannen net do, dofir feelt eng local-Linn, déi aus der Hostkonfiguratioun kopéiert gouf, aus engem ganz aneren Grond wéi eng falsch Adress.

ip -brief address show
ip route get 203.0.113.10

Déi bannenzeg Adress kënnt vum Server

D’Adress bannent dem Tunnel gëtt ausgehandelt oder zougewisen, nodeems de Kontrollkanal opgebaut ass. Bei engem dynamesche Pool entscheet de Server dat bei der Verbindung, a bei enger clientspezifescher Konfiguratioun ka s pro Identitéit fest sinn.

local mat enger bannenzeger Adress ze schreiwen freet de Server net, déi Adress zouzeweisen. Am beschten Fall feelt d’Binden; am schlëmmsten Fall fënnt de Client eng onverbonnen Hostadress mat demselwe Wäert a fänkt un, se fir den Transport ze benotzen.

D’Schnittstelle, déi ee liese muss, si och anerer. ifconfig-Parameter an d’Poolkonfiguratioun beschreiwen d’Bannen, wärend remote, local, proto an nobind d’Baussen beschreiwen. Déi zwou Lëschten auserneen ze halen erkläert bal all verwierend Beispill, dat s de an engem Forum fënns. OpenVPN 2.6-Handbuch dokumentéiert se genau dofir a getrennten Abschnëtter.

D’Falle: en ganze Tunnel, deen säin eegene Transport fänkt

Soubal den Tunnel steet an d’Standardroute dréit, däerf d’Pakete, déi en undréien, net an e geroutet ginn. Dat ass e Routing- a kee Adressproblem, an den Daemon léist et, andeem en eng méi spezifesch Route op d’Adress vum Server selwer iwwer de urspréngleche Gateway installéiert.

Wann s de den Transport op eng bestëmmt lokal Adress peks a spéider de Wee änderst, deen déi Adress benotzt, kann d’baussenzeg Verbindung sech verléieren, wärend d’Bannen konfiguréiert bleift. Den Tunnel mellt weider verbonnen, well d’Bannen an der Rei ass. Nëmmen den Transport ass futti, an dofir liesen sech d’Loggen wéi Widderspréch.

D’Symptomer gesinn dann aus wéi en Tunnel, deen sech verbënnt an agefréiert, oder wéi enen, deen an enger Schleif ouni nëtzlech Feeler erëm verbënnt. Kontrolléier d’Route op d’Adress vum Peer, ier s eppes bannent dem Tunnel kontrolléiers, a bestäteg, datt déi lokal Adress, déi s de gebonnen hues, nach ëmmer zu der Schnittstell gehéiert, déi s de erwaart hues.

Eng Gewunnecht, déi d’Verwierung verhënnert

Lies all Adress an engem Profil a entscheet virum Änneren, zu wéi enger Schicht se gehéiert.

Wann se dat wäit Enn vum Transport nennt oder säin noen Enn bindt, ass et eng baussenzeg Adress a muss virum Start do sinn. Wann se beschreift, wat bannent dem Tunnel geschitt, kënnt se vum Server oder vun der Topologie, an keng lokal Direktiv kann se ersetzen.

Schreif déi zwou Lëschten an d’Deployement-Notizen nieft dem Profil. Déi nächst Feelerdiagnos fänkt dann mat der Schicht un an net mat enger Vermutung.