OpenVPN masih menolak laluan lama? Semak apa yang dimuatkannya

Anda menambah laluan, memulakan semula perkhidmatan, menyambung semula, dan jadual klien kelihatan sama seperti sebelum ini. Dua perkara berbeza mungkin benar: pelayan tidak pernah memuatkan suntingan anda, atau klien tidak pernah memasang apa yang diterimanya. Kedua-duanya tidak mempunyai persamaan kecuali gejala, jadi langkah pertama ialah mengetahui yang mana satu anda hadapi.

Perbandingan di bawah bergerak dari proses ke luar, kerana proses ialah satu-satunya pihak yang tahu fail mana yang berkuat kuasa.

Fail yang anda sunting dan fail yang dibaca oleh proses

Mulakan dengan unit dan baris arahan yang dihasilkannya. Pada hos systemd, systemctl cat openvpn@server mencetak baris ExecStart, dan unit instans biasanya memperoleh laluan konfigurasinya daripada nama instans, jadi daemon yang dimulakan sebagai openvpn@office membaca fail berbeza daripada yang dimulakan sebagai openvpn@server. Bandingkan itu dengan argv proses yang berjalan. Alat pengurusan konfigurasi menambah satu lagi cara kehilangan perubahan: ia boleh menulis fail yang betul ke lokasi yang tidak pernah disebut oleh unit, dan kemudian penggunaan yang berjaya kelihatan seperti tidak berbuat apa-apa.

Cap masa menyelesaikannya dengan cepat: jika fail lebih baharu daripada masa mula proses, proses itu tidak mungkin telah membacanya. Perisian tegar penghala menambah kes ketiga, kerana banyak model menyimpan tetapan mereka dalam flash dan membina semula konfigurasi semasa but, yang menjadikan penyuntingan fail pada cakera lapisan yang sama sekali salah.

Apa yang ditolak pelayan dan apa yang dipasang klien

Laluan yang ditolak mesti melepasi dua penapis. Pada pelayan ia mesti berada dalam konfigurasi yang dimuatkan, bukan dalam blok yang dikomen atau fail khusus klien yang namanya tidak sepadan. Pada klien, pull mesti diaktifkan dan tiada pull-filter boleh membuang pilihan itu. Sambung dengan verbosity 4 dan baca pilihan yang ditolak yang dilaporkan oleh klien: jika laluan muncul dalam senarai itu, pelayan telah membuat kerjanya dan klien yang memilih untuk tidak memasangnya.

Fail khusus klien sering menjadi punca kekeliruan. Fail yang dinamakan sempena common name sijil hanya menolak pilihan kepada klien itu, dan perbezaan satu aksara menghentikan penolakan secara senyap, tanpa ralat pada kedua-dua belah pihak. Pelayan merekodkan common name yang dilihatnya semasa sambungan, jadi bandingkan nilai itu dengan nama fail, bukan dengan apa yang anda fikirkan sebagai nama klien.

Awalan yang ditolak dan laluan pulangan ialah masalah yang berbeza

Klien yang sengaja mengabaikan redirect-gateway untuk mengekalkan laluan internet tempatannya mencipta jurang kedua yang tidak berkaitan. Prob pelayan sampai ke alamat terowong tetapi jawapannya tidak pernah tiba, kerana jawapan yang dialamatkan ke IP terowong pelayan dihalakan melalui gerbang lalai biasa klien. Laluan subnet yang ditolak bukan penyebab di sini; apa yang tiada ialah laluan yang menghantar trafik untuk rangkaian terowong pelayan kembali melalui peranti terowong.

Menambah laluan itu pada klien membetulkan jawapan kepada prob yang dimulakan oleh pelayan. Ia bukan pengganti laluan subnet yang ditolak, dan sebaliknya juga benar, kerana kedua-duanya menerangkan arah perjalanan yang bertentangan.

Bandingkan jadual di kedua-dua hujung

Selepas apa-apa perubahan, sambung semula dan baca jadual klien untuk awalan yang ditolak dan untuk peranti terowong. Kemudian uji dalam kedua-dua arah: dari klien ke hos dalam subnet yang ditolak, dan dari hos itu kembali ke klien. Laluan yang wujud tetapi tidak membawa trafik bermaksud satu daripada tiga perkara: pihak jauh tidak memajukan, tembok api menggugurkan aliran, atau jawapan tidak mempunyai jalan pulang.

Simpan tiga pengecam bersama: laluan konfigurasi, nama unit atau instans, dan identiti klien yang anda gunakan untuk menguji.

Ketiga-tiganya menjadikan kejadian seterusnya semakan lima minit dan bukannya siasatan berulang, dan itulah yang diperlukan oleh rakan sekerja apabila terowong menjadi masalah orang lain.

Masalah laluan yang bertahan selepas dimulakan semula selalunya bukan masalah penghalaan langsung; kesalahan itu terletak di atas jadual yang anda terus baca.