route-gateway ass net redirect-gateway: wat sech tatsächlech ännert
D’Optioun liwwert nëmmen en nächsten Hop fir d’Routen, déi OpenVPN installéiert. Se ewechzehuelen schalt net en gepushte Volltunnel aus, an d’Korrektur gehéiert zur Ëmleedung.
Ären Tunnel kënnt erop, d’privaten Subnetz äntwert, a gewéinlech Surfen verschwënnt nach ëmmer an d’VPN, obwuel een d’Gateway-Linn aus dem Profil geläscht huet. Déi Kombinatioun ass de Fangerofdrock vun der falscher Direktiv, déi editéiert gouf. Dat, wat ewechgeholl gouf, huet dem Client en nächsten Hop fir d’Routen ginn, déi en installéiert; dat, wat weider Verkéier gefaangen huet, koum vun anerer Plaz a gouf vum Server gepusht. Ofdeckung an nächsten Hop sinn getrennt Aufgaben, an nëmmen eng vun hinnen entscheet, ob ëffentlech Destinatiounen den Tunnel benotzen.
D’Linn, déi Dir ewechgeholl hutt, war en nächsten Hop, keen Richtlinien-Schalter
All Route, déi de Client installéiert, brauch eng Gateway-Adress fir drop ze weisen, an d’Gateway-Direktiv ass d’Quell vun där Adress, wann eng Route keng eegen nennt. Läscht se, an déi Routen hunn näischt, u wat se sech hänke kënnen, sou datt se entweder net installéiert ginn oder op engem Wee landen, deen néierendswier féiert. De privaten Subnetz ass genee dat, wat sou eng Route gedroen huet.
Tëschendu huet dat iwwerliewend Verhalen en aneren Auteur: eng Ëmleedungsoptioun am gepushte Block, déi gewéinlechen erausgënnende Verkéier no hire Fändelen an den Tunnel verréckelt. D’Gateway ewechzehuelen deaktivéiert oder schwächt se net. D’Resultat ass dat Schlëmmst vun deenen zwou Zoustänn, mam ëffentlechen Verkéier nach ëmmer gefaangen an der privater Destinatioun, déi den Tunnel gerechtfertegt huet, elo onerreechbar. Dofir ännert déi zweet Ännerung, am selwechte Geescht gemaach, och näischt.
Véier Hiewelen, véier ënnerschiddlech Aufgaben
Véier Direktive ginn an dëser Diskussioun austauschbar zitéiert, an nëmmen eng dovun decidéiert d’Ofdeckung, also wéi eng Destinatiounen iwwerhaapt duerch den Tunnel geroutet ginn. Déi zweet setzt den nächsten Hop, deen d’Routen benotzen, déi drëtt installéiert een eenzegen Präfix, an déi véiert geheit alles ewech, wat de Server gepusht huet, och déi privat Routen, déi d’Ausrollung brauch. D’Tabell sortéiert se no deem, wat en Administrateur probéiert ze änneren, an net no dem Numm, well d’Nimm d’Verwiirung verursaachen. Behandelt se als véier getrennte Decisiounen a wielt déi, déi Dir tatsächlech wëllt réckgängeg maachen.
An der Praxis kommen all véier dacks an engem gepushte Block, Linn fir Linn, wat se wéi Deeler vun enger eenzeger Astellung ausgesinn léisst. Dat si se net, an d’OpenVPN-Referenz dokumentéiert se genee dofir als ënnerschiddlech Mechanismen. Erauszefannen, wéi eng Decisioun Dir réckgängeg maacht, ass d’Aarbecht; d’Ännerung ass eng Linn.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Filtert déi gepushte Linn, behält den nächsten Hop
Wann d’Ofdeckung, géint déi Dir Einwänn hutt, als gepushte Optioun kënnt, ass déi enk Äntwert, déi Optioun mam Numm ze ignoréieren an de Rescht vum gepushte Block onberéiert ze loossen. Als Filter geschriwwen, gesäit et aus wéi d’Linn hei drënner, an et gehéiert an de Profil vum betraffene Client, net an d’Serverkonfiguratioun.
pull-filter ignore "redirect-gateway"Enkheet ass de Punkt. Well de Filter en Textpräfix vergläicht, passt e méi kuerze Muster och op d’Nächst-Hop-Direktiv, wat genee déi Informatioun ofstreift, op déi d’privat Route ugewise sinn, an de Feeler vum Ufank an engem neie Kostüm widderhëlt. E Filter wierkt och nëmmen op gepushte Optiounen, sou datt en ni eng gläichwäerteg Linn beréiert, déi lokal geschriwwen oder vun engem Netzwierkmanager opgezwongen ass. Verbënnt Iech duerno nei, well eng lieweg Sessioun net nei bewäert, wat de Server gepusht huet.
Liest d’Sich, net d’Tabell
No dem Nei-Luede vum Profil, frot de Kernel, wou zwou Destinatiounen tatsächlech hige géifen: eng bannent dem private Präfix an eng um ëffentlechen Internet. En kompletten Dump vun der Haapttabell ass schwéierer ze liesen an éischter falsch ze liesen, well eng Route existéiere kann an awer géint eng méi spezifesch Iwwereneestëmmung verléieren. Bei Policy-Routing gehéieren d’Reegel, d’Tabell an d’Quelladress och an d’Kontroll.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showD’def1-Variant verdéngt Vertrautheet, well se den ale Standardeintrag sichtbar léisst, während e Paar Hallef-Standarden d’Sich gewënnt. Dofir beweist eng 0.0.0.0/0-Linn an der Ausgab vun sech aus näischt. D’Sich beäntwert d’Fro, op déi d’Lëscht nëmmen ze Äntweren ausgesäit.
DNS, IPv6 an déi privat Route mussen nach ëmmer funktionéieren
Eng IPv4-Ëmleedung ofzeleeën seet näischt iwwer de Resolver, sou datt eng gepushte DNS-Optioun weider Froen an den Tunnel schécke kann, während d’Routen korrekt ausgesinn. En IPv6-Standard kann dat selwecht fir eng Adressfamill maachen, déi d’IPv4-Kontroll ni beréiert huet. Béid brauchen eng explizit Decisioun amplaz vun enger Unnahme. Bestätegt dann, datt de privaten Déngscht nach äntwert, well en Split-Tunnel, deen seng privat Route verluer huet, ass kee Split-Tunnel, en ass futti.
En méi breede Wierkzeug verdéngt eng Warnung: route-nopull geheit all gepushte Route an all gepushte DNS-Optioun ewech, wat de Volltunnel gewëss stoppt an ebenso gewëss déi privat Routen ënnerbrécht, op déi d’Ausrollung ugewise ass, also ass et e vill méi groussen Hummer wéi en Nummfilter, deen op eng Optioun zielt. Kontrolléiert déi privat Destinatioun, eng ëffentlech Destinatioun an de Resolver no all Ännerung, a kuckt en ofgeschlossenen Handshake als Beweis fir näischt ausser den Handshake un.