D'VPN ass geplënnert: firwat den OpenVPN-Client nach ëmmer déi al IP wiählt

Den Anbieter huet Är ëffentlech Adress geännert, Dir hutt den dynameschen DNS-Andrag aktualiséiert, an den Client kann nach ëmmer net verbannen. Vu baussen gesäit et aus, wéi wann den Andrag net verbreet gouf. Meeschtens ass den Andrag an der Rei an den Client wiählt d'Adress déi en virun der Plënnerung opgeléist huet, well en Tunnel deen leeft an eng gespäichert Profil allenzweiber hir eege Iddi hunn, wou de Server wunnt. Dräi Schichte mussen iwwerenee stëmmen, an se aktualiséieren sech no verschiddenen Zäitpläng.

Kuckt wat d'Profil wiählt, net wat DNS seet

Maacht d'Verbindung op déi Dir tatsächlech benotzt a liest d'remote-Zeil. Eng numeresch Adress do follegt ni enger Hostnumm-Aktualiséierung, esou richteg wéi den Andrag och gëtt.

Da kontrolléiert ob d'Profil déi Dir geännert hutt déi ass déi den Client gelueden huet. Importéiert Profile sinn heefeg: e Verwalter huet vläicht viru Méint eng Kopie geholl an seng eege Versioun behalen, sou datt d'Datei an Ärem Download-Dossier an den Andrag an der App kënnen auserneegoe. Vergläicht den Endpunkt an den eegene Verbindungsdetailer vum Client, ier Dir iwwerhaapt DNS debuggëert.

Zwou Dateien, een Endpunkt — dat ass hei de gewéinlechen Treffer.

grep -nE '^remote|^resolv-retry|^persist-remote-ip|^float' client.ovpn
printf 'resolver says: '; dig +short vpn.example.net

Liest déi nächst Verbindungsversich vum Client

Start d'Verbindung mat ausféierlechem Logging nei a liest d'Zeil wou d'Adress genannt gëtt déi en ufuere wäert. Deen Wäert zielt, net wat Äre Browser opgeléist huet.

De Cache vum Resolver kann nach déi virecht Äntwert halen, an e puer Netzwierker halen se méi laang wéi d'TTL vum Andrag freet. Frot de Resolver deen den Client tatsächlech benotzt, net een ëffentlechen deen Dir vun aneschwuers getest hutt.

Wann d'Log déi nei Adress weist an d'Verbindung nach ëmmer feelt, ass de Problem weidergezunn: de Pak geet iergendwou hin an keen äntwert. Dat ass eng Fro vu Lauschterer, Firewall oder Portweiderleedung, an se läit op der Serversäit an net am Opéierungspad vum Client. Halt déi zwou Feeler auserneen, well en onerreechbare Lauschterer als DNS-Problem ze behandelen Iech zweemol duerch déi selwecht Schleif schéckt.

Wësst wéi en Neistart Dir maacht

Net all Neistarts behalen dee selwechte Zoustand, dofir kann eng Adressännerung sech anescht behuelen jee no wéi de Prozess recycléiert gëtt. En duuschte Neistart deen duerch e Signal ausgeléist gëtt behält méi vum Kontext vun der virechter Sitzung, während en vollstännegen Stop an Start erëm vun der Konfiguratioun ufänkt. Wann Dir testt ob den Client erëm opléist, wëllt Dir de Wee deen aus der Konfiguratioun ufänkt.

D'Astellunge fir d'Dauerhaftigkeit zielen och, well se dofir geduecht sinn ze behalen wat authentifizéiert war, an net nei Adressen ze joen.

Den proppersten Test ass en neien Ufank aus der virgesinner Profil, gefollegt vun engem Bléck op d'Logzeil déi den Endpunkt nennt. Alles wat Dir aus enger deelweis behaler Sitzung léiert ass eng Ausso iwwer déi Sitzung.

Déi véier Optiounen an hir getrennte Aufgabe

remote mat engem Hostnumm ass d'Astellung déi eng Neiopléisung iwwerhaapt méiglech mécht; eng wuertwiertlech Adress op där Zeil schléisst se aus. resolv-retry kontrolléiert wat geschitt wann eng Sich feelt, an 2.6 setzt se schonn als Standard op onendlech. Dobäizesetzen ännert dofir näischt, an et plangt ni eng periodesch Kontroll fir eng aner Äntwert. Wien seet et pollt nei Adressen, huet Restauratioun mat Fräschheet verwiesselt.

persist-remote-ip geet ëm Kontinuitéit an net ëm Fräschheet: et benotzt den Endpunkt erëm dee sech leschtens authentifizéiert huet, iwwer déi duuscht Neistarts déi et ënnerstëtzt. Wärend Dir eng Plënnerung testt, ass dat d'Géigendeel vun deem wat Dir wëllt. Deaktivéiert se fir den Test wann Ären Build se aktivéiert, an aktivéiert se erëm wann den neien Endpunkt bewisen ass. Wann se u bleift, kann eng erfollegräich Neiverbindung Iech näischt iwwer DNS soen.

float akzeptéiert en authentifizéierte Peer deem seng Adress sech mëttel an der Sitzung geännert huet, an nëmmen an Arrangementer déi dat ënnerstëtzen. Et aktualiséiert DNS net, an et wäert enger Ännerung vum Anbieter net vu selwer follegen. Behandelt et als Resistenzfunktioun fir Peers déi ëmmer ënnerwee sinn, net als Mechanismus fir dynamesch Adressen fir Server.

Bestätegt den neien Endpunkt ier Dir de Client beschëllegt

Vu baussen Ärem Netz, kontrolléiert datt déi nei Adress en Hörer um konfiguréierte Port huet an datt d'Weiderleedung vum Anbieter drop weist. E richtegen A-Andrag fir eng Maschinn ouni oppene Port produzéiert genau dee Symptom deen d'Leit dem Cache zou schreiwen.

Verbindt Iech dann erëm a bestätegt zwee Saachen: den Client huet sech géint de erwaarten Serverzertifikat authentifizéiert, an d'Sitzung erreecht d'Ressource déi Dir virgesinn hutt. Eng Adressännerung sénkt d'Identitéitsufuerderungen net, an eng Verbindung déi zum falschen Endpunkt geléngt ass méi schlëmm wéi eng déi feelt. Den OpenVPN-2.6-Handbuch lëscht all véier Optiounen mat hirem eigenen Ëmfang, an dat ass d'Checklëscht déi nieft der Profil ze halen ass.

Halt e Wee baussen dem Band an de Server bereet ier Dir den Tunnel nei start, deen Ären Administratiounsaccès dréit. Déi eenzeg Virsiichtsmoossnam verhënnert déi meescht Virfäll déi dëst Szenario produzéiert.