route-gateway nav redirect-gateway: kas patiešām mainās
Šī opcija tikai nodrošina nākamo lēcienu maršrutiem, ko instalē OpenVPN. Tās noņemšana neizslēdz uzspiestu pilnu tuneli, un labojums pieder novirzīšanai.
Jūsu tunelis paceļas, privātais apakštīkls atbild, un parastā pārlūkošana joprojām pazūd VPN iekšienē, lai gan kāds ir izdzēsis vārtejas rindu no profila. Šī kombinācija ir nepareizās direktīvas rediģēšanas pirkstu nospiedums. Noņemtais klientam deva nākamo lēcienu maršrutiem, ko tas instalē; tas, kas turpināja uztvert satiksmi, nāca no citurienes un tika uzspiests no servera. Pārklājums un nākamais lēciens ir atsevišķi darbi, un tikai viens no tiem izlemj, vai publiskie galamērķi izmanto tuneli.
Noņemtā rinda bija nākamais lēciens, nevis politikas slēdzis
Katram maršrutam, ko klients instalē, ir vajadzīga vārtejas adrese, uz kuru norādīt, un vārtejas direktīva ir tās adreses avots, ja maršruts pats nevienu nenosauc. Izdzēsiet to, un šiem maršrutiem nebūs kam pievienoties, tāpēc tie vai nu netiek instalēti, vai nonāk ceļā, kas nekur neved. Privātais apakštīkls ir tieši tas, ko šāds maršruts nesa.
Tikmēr izdzīvojušajai uzvedībai ir cits autors: novirzīšanas opcija uzspiestajā blokā, kas pārvieto parasto izejošo satiksmi tunelī atbilstoši saviem karodziņiem. Vārtejas noņemšana to neizslēdz un nepadara vājāku. Rezultāts ir sliktākais no abiem stāvokļiem: publiskā satiksme joprojām tiek uztverta, un privātais galamērķis, kas attaisnoja tuneli, tagad ir nesasniedzams. Tāpēc arī otrais labojums, kas veikts tādā pašā garā, neko nemaina.
Četras sviras, četri dažādi darbi
Šajā diskusijā četras direktīvas tiek citētas savstarpēji aizvietojami, un tikai viena no tām pārvalda pārklājumu, tas ir, kuri galamērķi vispār iet caur tuneli. Otrā nosaka nākamo lēcienu, ko izmanto maršruti, trešā instalē vienu prefiksu, un ceturtā izmet visu, ko serveris uzspieda, tostarp privātos maršrutus, kas vajadzīgi ieviešanai. Tabula tos kārto pēc tā, ko administrators cenšas mainīt, nevis pēc nosaukuma, jo tieši nosaukumi rada apjukumu. Uztveriet tos kā četrus atsevišķus lēmumus un izvēlieties to, ko patiešām vēlaties atcelt.
Praksē visi četri bieži ierodas vienā uzspiestā blokā, rindu pēc rindas, kas liek tiem izskatīties kā viena iestatījuma daļām. Tie nav, un OpenVPN uzziņa tos dokumentē kā atšķirīgus mehānismus tieši šī iemesla dēļ. Noskaidrot, kuru lēmumu jūs atceļat, ir darbs; labojums ir viena rinda.
| What you are trying to change | Directive that decides it | What it leaves alone |
|---|---|---|
| Which destinations use the tunnel | redirect-gateway | Per-prefix routes and resolver choice |
| The next hop a pushed route points at | route-gateway | Coverage of public destinations |
| One reachable prefix | route | Every other destination, default path included |
| All pushed routing and DNS at once | route-nopull | Nothing, which is the problem |
Filtrējiet uzspiesto rindu, saglabājiet nākamo lēcienu
Ja pārklājums, kam jūs iebilstat, nāk kā uzspiesta opcija, šaura atbilde ir ignorēt šo opciju pēc nosaukuma un atstāt pārējo uzspiesto bloku neskartu. Rakstīts kā filtrs, tas izskatās kā zemāk esošā rinda, un tam vieta ir skartā klienta profilā, nevis servera konfigurācijā.
pull-filter ignore "redirect-gateway"Šaurums ir būtība. Tā kā filtrs salīdzina teksta prefiksu, īsāks modelis atbilst arī nākamā lēciena direktīvai, kas noplēš tieši to informāciju, no kuras atkarīgi privātie maršruti, un atkārto sākotnējo kļūdu jaunā tērpā. Filtrs arī darbojas tikai uz uzspiestām opcijām, tāpēc tas nekad neskar līdzvērtīgu rindu, kas rakstīta lokāli vai uzspiesta no tīkla pārvaldnieka. Pēc tam pievienojieties no jauna, jo dzīva sesija no jauna nevērtē to, ko serveris uzspieda.
Lasiet meklēšanu, nevis tabulu
Pēc profila pārlādes pajautājiet kodolam, kur divi galamērķi patiešām dotos: viens privātā prefiksa iekšienē un viens publiskajā internetā. Pilnu galvenās tabulas izdruku ir grūtāk lasīt un vieglāk izlasīt nepareizi, jo maršruts var pastāvēt un tomēr zaudēt precīzākai atbilstībai. Politikas maršrutēšanā arī noteikums, tabula un avota adrese ietilpst pārbaudē.
ip route get 10.40.7.25
ip route get 203.0.113.77
ip rule showdef1 variants ir vērts iepazīšanas, jo tas atstāj veco noklusējuma ierakstu redzamu, kamēr pāris pusnoklusējuma ierakstu uzvar meklēšanu. Tāpēc 0.0.0.0/0 rinda izvadē pati par sevi neko nepierāda. Meklēšana atbild uz jautājumu, uz kuru saraksts tikai šķietami atbild.
DNS, IPv6 un privātajam maršrutam joprojām jādarbojas
Vienas IPv4 novirzīšanas atteikšana neko nepasaka par atrisinātāju, tāpēc uzspiesta DNS opcija var turpināt sūtīt vaicājumus tunelī, kamēr maršruti izskatās pareizi. IPv6 noklusējums var darīt to pašu adrešu saimei, kurai IPv4 pārbaude nekad nav pieskārusies. Abiem vajadzīgs skaidrs lēmums, nevis pieņēmums. Pēc tam apstipriniet, ka privātais pakalpojums joprojām atbild, jo dalīts tunelis, kas zaudējis savu privāto maršrutu, nav dalīts tunelis, tas ir salauzts.
Viens plašāks rīks ir pelnījis brīdinājumu: route-nopull izmet katru uzspiesto maršrutu un katru uzspiesto DNS opciju, kas noteikti aptur pilno tuneli un tikpat noteikti salauž privātos maršrutus, no kuriem atkarīga ieviešana, tāpēc tas ir daudz lielāks āmurs nekā nosaukuma filtrs, kas vērsts uz vienu opciju. Pēc jebkuras izmaiņas pārbaudiet privāto galamērķi, publisko galamērķi un atrisinātāju, un uzskatiet pabeigtu rokasspiedienu par pierādījumu nekam citam kā vien rokasspiedienam.