Apa yang sebenarnya ditambah bypass-dhcp kepada pelan laluan OpenVPN

Profil yang membawa redirect-gateway def1 bypass-dhcp menggabungkan penggantian laluan lalai IPv4 dengan satu pengecualian yang sempit. Orang membaca perkataan terakhir dan mengharapkan penyelesaian umum untuk sambungan mudah alih, kemudian menghabiskan sebelah petang dengan teori DHCP yang tidak pernah disokong oleh bendera ini. Setiap bahagian melakukan satu perkara, dan pengecualian itu jauh lebih kecil daripada reputasinya.

Asingkan bendera itu sebelum mengaitkan kegagalan khusus rangkaian mudah alih dengan peruntukan alamat. Dua separuh rentetan itu tidak ada kaitan antara satu sama lain.

Dua bendera, dua tugas tidak berkaitan

Dengan def1, klien menambah dua separuh laluan lalai IPv4 dan bukannya menggantikan laluan lalai yang sudah ada. 0.0.0.0/1 meliputi separuh bawah ruang alamat dan 128.0.0.0/1 separuh atas, jadi bersama-sama ia mencapai setiap destinasi sementara setiap satu kekal lebih khusus daripada 0.0.0.0/0. Laluan lalai asal itu kekal dalam jadual tanpa memenangi carian tersebut, yang mengekalkan gerbang lama boleh dicapai untuk apa sahaja yang dihalakan klien secara jelas. Ia juga meninggalkan dua laluan lalai bertindih dalam jadual, dan itulah sebabnya dump laluan boleh kelihatan lebih pelik daripada yang disarankan oleh profil.

bypass-dhcp berasingan, dan sama sekali tidak menyentuh laluan lalai. Manual OpenVPN 2.6 menerangkannya sebagai menambah laluan terus ke pelayan DHCP yang tidak berada dalam subrangkaian tempatan, supaya trafik pajakan keluar di luar terowong, dan menyatakan bahawa tingkah laku itu dilaksanakan pada klien Windows dan mungkin tidak tersedia di tempat lain.

Sebab kewujudannya bersifat mekanikal. Sebaik sahaja separuh laluan lalai menangkap trafik keluar, pembaharuan DHCP yang ditujukan kepada pelayan dalam rangkaian fizikal akan dihalakan ke dalam terowong melainkan sesuatu menyemat alamat itu pada antara muka sebenar. Bendera itu menyematnya.

Apa yang sebenarnya diliputi oleh pengecualian itu

Jadual contoh selepas sambungan berjaya menunjukkan bentuknya: dua separuh laluan lalai melalui terowong, dan satu laluan hos untuk pelayan DHCP melalui gerbang fizikal. Bacalah sebagai bentuk, bukan sebagai alamat anda sendiri.

0.0.0.0/1        via 10.8.0.1      dev tun0
128.0.0.0/1      via 10.8.0.1      dev tun0
192.168.1.1/32   via 192.168.1.254 dev wlan0

Baris ketiga itu menamakan satu destinasi. Ia bukan tetapan penyelesai, bukan kebenaran umum untuk rangkaian tempatan dan bukan peraturan keluar pada pelayan. Telefon pada pembawa selular mungkin tidak mempunyai pelayan DHCP yang boleh dikenal pasti oleh klien dengan cara ini, dan itulah sebabnya bendera itu tidak mengubah apa-apa di sana.

Semak apa yang sebenarnya dipasang oleh klien

Bezakan pilihan yang ditulis dalam profil, pilihan yang ditawarkan oleh pelayan dan laluan yang benar-benar digunakan oleh pemilik sambungan. Klien yang menolak bendera tidak disokong mungkin mengekalkan baki konfigurasi, jadi terowong naik dan pengecualian itu semata-mata tiada. Baca log klien itu sendiri dan jadual laluan yang terhasil dan bukannya menganggap baris dalam fail telah berkuat kuasa. Tiga daripada perkara itu boleh benar serentak, dan hanya yang terakhir mengubah ke mana paket sebenarnya pergi.

Kekalkan laluan ke titik akhir VPN boleh digunakan pada masa yang sama. Pengecualian titik akhir itu keperluan yang berbeza daripada pengecualian DHCP, dan tanpanya terowong boleh menangkap pengangkutan yang mengekalkannya.

Untuk destinasi aplikasi, periksa carian berkesan dalam konteks di mana ia gagal. Laluan tempatan yang lebih khusus, penghalaan dasar dan pengecualian setiap aplikasi semuanya mengubah jawapannya, jadi kehadiran dua separuh laluan lalai bukan inventori setiap aliran.

Baki laluan tidak berada dalam bendera ini

Pelayan masih memerlukan kebenaran untuk menghantar trafik internet klien dan susunan keluar yang boleh memulangkannya. Tiada laluan di sebelah klien yang mencipta penghantaran atau terjemahan sumber yang hilang pada pelayan, dan tiada bendera menggantikan laluan balik yang berfungsi.

Penyelesaian nama dan IPv6 masing-masing memerlukan dasarnya sendiri. Penggantian IPv4 tidak menghalakan penyelesai ke pelayan di sebelah terowong dan tidak mewujudkan liputan IPv6, dan klien yang hanya mengubah hala v4 membiarkan laluan v6 tidak tersentuh.

Bandingkan satu permintaan tidak berbahaya yang diluluskan pada laluan akses yang berfungsi dan yang gagal, dengan profil dan destinasi dikekalkan tetap. Catat sama ada perbezaannya terletak pada penyelesaian nama, pembentukan terowong, pemilihan laluan atau trafik yang dihantar, dan simpan jawapannya bersama profil. Catatan itulah yang menghalang orang seterusnya daripada menyalahkan DHCP atas masalah yang tidak dapat dicapainya.