OpenVPN redirect-gateway: што прави секое знаменце со рутите

Поврзете се со redirect-gateway во профилот, и стандардната рута на вашата машина може да исчезне, да се подели на две или да остане точно каде што била, зависно од знаменца што никој не ги чита двапати. Опцијата го менува само состојбата на рутирањето и ништо друго, затоа единствениот веродостоен доказ за тоа што направила е табелата што клиентот ја инсталирал потоа. Следува табелата по поврзувањето, рутата што го одржува жив самиот тунел и сообраќајот IPv6 што директивата никогаш не тврди дека го покрива. Секој чекор е команда што можете да ја извршите на клиентот додека тунелот е активен.

Што прави секое знаменце со стандардната рута

Без никакво знаменце, опцијата ја отстранува обичната стандардна рута и го става тунелот на нејзино место, па старата порта исчезнува од табелата додека врската е активна. Додајте def1 и таа стандардна рута останува во списокот, а работата ја вршат две потесни рути. Додајте bypass-dhcp и рутата DHCP исто така преживува, што е важно во мрежа каде клиентот уште мора да стигне до локалниот DHCP сервер. Списокот на знаменца на страницата од прирачникот за OpenVPN 2.6 е доволно краток за едно читање, и секој запис менува кои рути завршуваат во табелата.

Турнатата опција се однесува исто кога ќе пристигне, па клиентскиот профил може да не содржи ништо додека табелата изгледа целосно пренасочена. Тоа е нормално: серверот ги испрати знаменцата, клиентот ги примени, а локалната датотека никогаш не ја спомна директивата. Кога туркањето изгледа дека не прави ништо, проверете го филтерот на клиентската страна што прифаќа или отфрла извлечени опции, бидејќи отфрлената опција не предизвикува грешка на ниту една страна.

def1 победува со специфичност без да ја допре вашата стандардна рута

Две полустандардни рути заедно го покриваат просторот IPv4, 0.0.0.0/1 и 128.0.0.0/1. Секоја е поспецифична од 0.0.0.0/0, па пребарувањето ги претпочита, додека вистинската стандардна рута останува во табелата за сето она што бара најмалку специфично совпаѓање.

Читајте ја табелата, а не профилот, бидејќи само табелата покажува во кој од тие случаи сте. Две линии се доволни за да ги разликувате:

ip route show default
ip route show | grep -E '^(0\.0\.0\.0/1|128\.0\.0\.0/1)'

Внимавајте на интерфејсот и метриката на секоја линија, не само на одредиштето. Стандардна рута што покажува кон тунелот и пар полустандардни што покажуваат кон тунелот опишуваат иста намера и пропаѓаат поинаку кога тунелот паѓа, бидејќи во едниот случај резервната патека уште постои. Запишете ги двете полиња во белешката за промена. Преживеаната резервна патека понекогаш е тоа што ја одржува далечната сесија жива доволно долго за да се поправи тунелот, и токму таа протекува сообраќај кога намерата била целосен тунел.

Одржувајте го крајот на тунелот достапен

На клиентот му треба рута до далечниот крај на тунелот што самата не поминува низ тунелот. OpenVPN ја инсталира таа хост рута пред да промени нешто друго, а рачното уредување рути или втор VPN клиент можат да ја отстранат. Симптомот потоа е врска што известува дека е поврзана и потоа не пропушта ништо.

Прашајте го јадрото кој интерфејс би го користело за адресата на крајот додека тунелот е активен. Одговорот мора да го наведе физичкиот интерфејс и неговата порта, никогаш tun0:

ip route get 198.51.100.20

Ако тоа пребарување го врати уредот на тунелот, тунелот го носи сопствениот транспорт и ќе се сруши штом некој пакет треба да излезе. Локалните префикси, вториот адаптер и рутирањето по политика уште се важни тука, затоа пренасочувањето што работи на чист преносен компјутер може да не успее на хост со управувачки интерфејс и две стандардни рути. Обично профилот се обвинува за она што го направил планот за адреси.

Сообраќајот IPv6 продолжува да ја користи својата табела

Пренасочувањето на IPv4 го остава IPv6 на мира, а двете фамилии се менуваат со различни знаменца. На хост со двоен стек и работна стандардна рута v6, сообраќајот v4 може целосно да седи во тунелот, додека секое одредиште способно за v6 излегува преку физичката врска. Хост што изгледа исправно во една табела протекува во другата.

Проверете ја табелата v6 по поврзувањето наместо да претпоставите дека тунелот ја покрил. Директивата носи знаменца за фамилијата адреси токму поради оваа причина, а профилот што ги испушта го наследува она што платформата го прави стандардно:

ip -6 route show default
ip -6 route get 2001:db8::10

Докажете кој интерфејс го користи апликацијата

Поврзаната состојба не е блокирање, а промената на рута не е прекинувач за итни случаи. Ако директниот сообраќај треба да запре кога тунелот ќе откаже, таа политика живее во огнениот ѕид и бара свој тест.

Тестирајте ја патеката што апликацијата навистина ја поминува, а не патеката што ја опишува профилот. Прво побарајте ја рутата, потоа поврзете барање наизменично со секој интерфејс и споредете што известува далечната страна:

ip route get 203.0.113.10
curl -s --interface tun0 https://ifconfig.me
curl -s --interface eth0 https://ifconfig.me

Ако двете барања вратат иста адреса, апликацијата не го користи тунелот иако табелата за рутирање вели дека треба. Ако успее само барањето врзано за тунелот, физичката патека е филтрирана за тоа одредиште и тунелот го прави она што го баравте. Запишете ги знаменцата, инсталираните рути, пребарувањето на крајот и двата резултата од излезот во записот за промени, за следниот човек да наследи факти наместо слика од екранот.