Wou gehéiert d'Route an OpenVPN: beim Client oder beim Server?
Eng nackteg Route an der Serverkonfiguratioun ännert de Server, net de Client. Wielt d'Clientdatei, e globalen Push oder e Push fir een eenzegen Client, a kontrolléiert wat ukomm ass.
Dir setzt route 10.60.0.0 255.255.255.0 an d'Serverkonfiguratioun, startet nei, verbënnt en Laptop erëm, an d'Subnetz ass nach ëmmer net vun deem Laptop aus erreechbar. D'Linn gouf ugeholl, den Service ass propper gestart, an näischt am Log gesäit falsch aus. Wat geschitt ass, d'Route gouf op der Maschinn installéiert déi Dir editéiert hutt: d'Gateway mengt elo datt se dee Prefix erreeche kann, wärend dem Client näischt gesot gouf. D'Plaz ass déi ganz Fro, an et gëtt véier Plazen wou déi selwecht Linn ka liewen.
Déi véier Plazen a wien all eenzel kritt
Eng Route kann duerch d'Konfiguratioun vum Client selwer dobäigesat ginn, all Client duerch e globalen Push ugebuede ginn, engem eenzegen Client duerch eng clientspezifesch Datei ugebuede ginn, oder an de Routingkontext vum Server selwer geschriwwe ginn.
Déi véier Fäll benotzen bal déiselwecht Syntax a ginn ganz ënnerschiddlech Resultater. Déi éischt dräi beaflossen wat e Client an den Tunnel schéckt; déi véiert beaflosst wéi de Server en Netzwierk erreecht, wat nëtzlech ass wann de Server selwer e Wee brauch an iwwerhaapt schiedlech wann et mat Verdeelung verwiesselt gëtt.
Entscheet wéi eng vun de véier Dir wëllt ier Dir d'Linn schreift, a bestätegt duerno den Empfänger.
| Placement | Effect | Receiver |
|---|---|---|
| Client profile route | Installed by the client at connect | That client only |
Global push "route ..." | Sent to every client that accepts pushed options | All pulling clients |
| Client-specific push | Sent to the matching client context | One identity |
| Server config route, no push | Added to the server's own table | The gateway itself |
Firwat déi nackteg Serverroute d'Leit iwwerrascht
D'Serverkonfiguratioun ass déi éischt Plaz wou Administrateuren nogesinn, an eng Routendirektiv do liest sech wéi eng Ausso iwwer d'VPN-Netzwierk. Et ass net. OpenVPN behandelt se als lokal Routeninstallatioun op der Maschinn op där den Daemon leeft, also genee déiselwecht Zort Ännerung déi Dir mat ip route maache géift an duerno vergiessen.
Verdeelung erfuerdert datt d'Route gepusht gëtt, a pushen erfuerdert datt de Client se zitt. E Client deen mat deaktivéierten gezunnene Optiounen ugefaangen ass ignoréiert d'Ubidde komplett. Kontrolléiert béid Enn vun där Handdéck ier Dir d'Serverdatei nei schreift, well de Serverlog wäert sech net beschwéieren: vu senger Säit gouf d'Ubidde geschéckt. Eng akzeptéiert Route gëlt och nëmmen beim nächsten Uschloss, ni an der Sessioun an där Dir schonn sidd.
Soubal Dir déi zwee als getrennt Operatioune gesitt, hält de Feeler op mysteriesch ze sinn: de Server erreecht de Prefix, de Client net, an déi zwou Aussoen si gläichzäiteg richteg.
Clientspezifesch Dateien an d'Identitéit déi se passen
Eng clientspezifesch Datei gëtt no der Identitéit benannt déi de Server authentifizéiert huet, wat standardméisseg den allgemengen Numm vum Zertifikat ass. En frëndlechen Uschlossnumm an engem Desktop-Client ass net dee Wäert, an eng Ongereimtheet produzeert eng Datei déi ni gelies gëtt.
Kontrolléiert den Verzeechnis deen de Server tatsächlech benotzt, a bestätegt duerno datt den Dateinumm genau mat der authentifizéierter Identitéit iwwereneestëmmt, Grouss- a Klengschreiwung abegraff.
grep -n 'client-config-dir' /etc/openvpn/server/server.conf
ls -l /etc/openvpn/ccd/Bannen an där Datei muss d'Route nach ëmmer gepusht ginn, well de clientspezifesche Kontext eng Rei Optiounen ass déi op d'Sessioun vun deem Client ugewannt gëtt, net eng lokal Routingtabell. Eng nackteg Route do huet dee selwechte Problem wéi eng nackteg Route an der globaler Datei.
D'Client seng eege Datei an den Instrument dat se besëtzt
Eng Route déi an d'Clientkonfiguratioun gesat gëtt gëtt installéiert wann dee Client sech verbënnt a geläscht wann en sech trennt, wat de richtege Liewenszyklus fir en statescht Zil ass.
Wann en Netzwierkmanager de Profil besëtzt, kann et déi Optiounen eng Kéier importéieren an duerno seng eege Kopie behalen. D'erofgeluede Datei duerno z'edittéieren ännert näischt, wat eng heefege Ursaach fir "d'Route ass do awer gëlt net" ass.
Kontrolléiert deen aktive Profil anstatt d'Datei déi Dir erofgelueden hutt, a kontrolléiert déi importéiert Astellungen déi de Manager weist. Verbënnt Iech duerno a frot de System wéi ee Wee eng bestëmmte Adress benotzt, anstatt unzehuelen datt den Tunnel gewonnen huet well d'Route an enger Textdatei stoung.
Iwwerpréift um Client, a kontrolléiert duerno de Wee zréck
Frot dem Client seng eege Routingtabell nom Zil, net déi vum Server. Eng Sich fir een eenzegen Host bannen dem Prefix ass duer fir d'Interface an den nächsten Hopp ze weisen déi benotzt ginn.
ip route get 10.60.0.10Wann d'Sich op den Tunnel weist, huet d'Verdeelung funktionnéiert an de Reschtprobleem ass soss anzwousch. Wann se op d'Standardgateway weist, gouf d'Route net installéiert, gouf duerch eng Optioun op der Clientsäit gefiltert, oder gehéiert zu engem Profil deen de Client net benotzt.
Hält un datt d'Verdeelung funktionnéiert huet an nach ëmmer näischt äntwert: da kontrolléiert d'Weiderleedung op der Gateway, de Retourwee vun der anerer Säit an all Firewall tëschent hinnen. Eng Route wielt e Wee, se gëtt keen Zougang.