X’inhuma tassew iwaqqaf route-nopull ta’ OpenVPN milli jimbotta s-server

Poġġejt route-nopull fi profil tal-klijent biex it-tunnel ma jibilgħx ir-rotta default tiegħek, u issa s-subnet tal-uffiċċju mhix tista’ tintlaħaq waqt li l-klijent għadu jgħid li huwa konness. Iż-żewġ osservazzjonijiet huma veri, u xejn ma falla. Il-bandiera tgħid lill-klijent biex jaqbeż ir-rotot u d-dħul DHCP li s-server jimbotta, istruzzjoni iżjed dejqa milli jistennew ħafna meta jżiduha. Li jifdal huwa tunnel li jaħdem mingħajr opinjoni dwar liema destinazzjonijiet għandhom jużawh.

Dik il-lakuna hija d-deċiżjoni kollha li dwarha dan l-artiklu. Jew is-server jiddeskrivi n-netwerk, jew il-klijent, u l-bandiera tagħti dak ix-xogħol lill-klijent mingħajr ma tagħmel xejn minnu għalik.

X’jitfi l-bandiera fil-ħin tal-konnessjoni

Klijent OpenVPN li jiġbed normalment jieħu pakkett mis-server wara l-awtentikazzjoni: rotot, ridirezzjoni tal-gateway default, servers DNS, u ftit direttivi ta’ tuning. B’route-nopull fis-seħħ il-klijent xorta jaċċetta s-sessjoni, xorta jivverifika ċ-ċertifikati, xorta jinnegozja ċ-ċifrar u l-keepalive, u xorta jtellgħa l-interface. Li jwarrab huwa l-applikazzjoni tal-linji route mibgħuta u l-linji dhcp-option mibgħuta, DNS inkluż.

Il-konfużjoni tiġi minn indikatur aħdar ħdejn applikazzjoni mejta. It-tunnel jeżisti; l-immappjar tad-destinazzjonijiet għal dak it-tunnel ma jeżistix. Xejn fil-panel tal-istat tal-klijent ma jiddistingwi «konness u jirrotta» minn «konness u inerti», għax mill-perspettiva tat-tunnel it-tnejn huma l-istess stat.

Għaliex tunnel ħaj xorta jista’ ma jirrotta xejn

L-interface tidher bl-indirizz tagħha stess u, fuq rabta punt-punt, spiss xejn iktar speċifiku minn rotta ta’ host lejn il-pari. Subnet privat isir aċċessibbli biss meta xi rotta tipponta lejn dik l-interface bil-prefiss it-tajjeb, u bil-bottatura mitfija dik ir-rotta qatt ma tasal. Il-profil imniżżel ukoll normalment ma jistax jgħin, għax inkiteb fuq il-preżunzjoni li s-server kien ser jipprovdi eżatt din l-informazzjoni. Għalhekk l-interface tista’ tidher sana waqt li s-subnet jibqa’ dlam.

Għalhekk il-qari tal-profil jipprova ftit ħafna. Aqra l-istat li qed jaħdem, fuq il-magna konnessa:

ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10

Indirizz mingħajr rotta tas-subnet fit-tieni kmand huwa l-firma ta’ din il-problema. It-tielet kmand imbagħad iwieġeb il-mistoqsija li tassew tinteressa lill-utenti, għax jirrapporta l-interface li l-qalba tagħżel għal destinazzjoni speċifika minflok il-lista li kont tittama li tuża. Jekk iwieġeb mill-link fiżiku tiegħek, it-tunnel mhuwiex fit-triq xejn.

Ir-riżoluzzjoni tal-ismijiet tfalli għal raġuni relatata, mhux għal waħda separata. Id-dħul dhcp-option DNS mibgħut jinqabeż mill-istess bandiera, għalhekk tistaqsiet għal hosts interni jmorru għand kull resolver li pprovda n-netwerk lokali. Dak ir-resolver m’għandux żona għall-uffiċċju, għalhekk it-tistaqsija tfalli jew tirritorna tweġiba pubblika, u l-falliment jidher bħala problema tas-server meta hija problema tal-konfigurazzjoni tal-klijent. Li tittestja indirizz qabel isem huwa dak li jifred it-tnejn.

L-għażla bejn il-bandiera u filtru tal-prefiss

Iż-żewġ għażliet isolvu forom differenti tal-istess ilment, u l-għażla ħażina hija dik li tipproduċi l-istat konness-imma-żejjed. Waħda tissostitwixxi l-politika mibgħuta għal kollox, filwaqt li l-oħra teditjaha bil-prefiss. It-tabella tagħti l-verżjoni qasira, u l-paragrafu warajha jkopri l-parti li taqbad il-bnedmin.

pull-filter huwa logħob tal-prefiss b’tliet verbi, għalhekk jista’ jaċċetta familja ta’ linji, jinjorahom bil-kwiet, jew jirrifjuta l-konnessjoni għal kollox meta jidher prefiss. Dak l-aħħar imġiba hija dik li tiswa l-bogħod: regola ta’ rifjut iddawwar nuqqas ta’ qbil fil-politika fi handshake fallut minflok omissjoni kwieta. Il-manwal ta’ OpenVPN 2.6 jelenka l-prefissi aċċettati u s-semantika eżatta ta’ kull verb.

Triq tan-nofs komuni hija li tirrifjuta biss redirect-gateway u tħalli r-rotot tal-uffiċċju u d-DNS jaslu kif maħsub. Dan iżomm il-bottatura taħdem għall-partijiet li s-server jifhem aħjar minnek, filwaqt li jipprevjeni dik il-linja waħda li tieħu f’idejha r-rotta default tiegħek.

Żieda ta’ rotot u resolver bl-idejn

Jekk iżżomm il-bandiera, il-profil irid jgħid dak li kien jgħid is-server. Id-direttivi route fuq in-naħa tal-klijent jiġu applikati wara li tiġi stabbilita l-konnessjoni, għalhekk jaħdmu maġenb il-bandiera minflok ma jiġu mblukkati minnha. Poġġihom fil-profil, mhux f’linja ta’ kmand interattiva, inkella l-jsegwi li jmiss ma jerġax jipproduċi l-istat li jaħdem.

route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53

Il-linja tad-DNS tinsab f’pożizzjoni skomda: hija direttiva fuq in-naħa tal-klijent, imma xi klijenti japplikawha biss permezz tal-integrazzjoni DNS tal-pjattaforma, li tista’ tikteb fuqha meta jinbidel il-link. Fuq host systemd, li tistabbilixxi r-resolver direttament fuq l-interface tat-tunnel huwa aktar prevedibbli milli tittama li l-klijent jirbaħ il-konkors ta’ prijorità:

resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.com

Id-dominju tar-rotot huwa importanti daqs l-indirizz. Mingħajru, it-tistaqsiet għall-ismijiet pubbliċi jistgħu jintbagħtu wkoll lir-resolver intern, u kull resolver intern li jirrifjuta r-rikorsa jkisser il-browsing filwaqt li ż-żona privata tibqa’ taħdem. Miegħu, biss l-ismijiet taħt dak is-suffiss jiġu rrotot lejn ir-resolver tat-tunnel u kollox ieħor isegwi l-link fiżiku.

Verifika tar-riżultat: indirizz, isem u t-triq ta’ barra

Tliet testijiet jifirdu l-fallimenti possibbli. Ġib l-indirizz privat bl-IP, imbagħad l-istess host bl-isem, imbagħad sit pubbliku ordinarju. IP li jaħdem b’isem li jfalli jipponta lejn ir-resolver; IP li jfalli b’isem li jaħdem jipponta lejn ir-rotot; it-tnejn jfallu normalment ifisser li t-tunnel mhuwiex fit-triq.

Imbagħad ħares ’il barra u mhux ’il ġewwa. Ir-rotta tal-punt tat-tmiem tat-tunnel stess trid tissopravivi l-bidla, u kull falliment li jimblokka jrid ikun limitat għat-tunnel mingħajr ma jaqbad il-punt tat-tmiem. Klijent li jkompli jibrawża wara li jaqa’ t-tunnel hija problema ta’ politika, mhux ta’ rotot, u mhux se tidher f’ebda wieħed mit-tliet testijiet hawn fuq.

Ikteb il-lista finali fid-dokumentazzjoni tal-profil: ir-rotot, ir-resolver, id-dominji, u r-raġuni għaliex jeżisti kull wieħed. Konnessjoni mill-ġdid li tipproduċi l-istess tabella hija l-unika prova li l-politika lokali hija sħiħa. Jekk l-applikazzjonijiet xorta jfallu bit-tunnel ’il fuq u t-tliet testijiet kollha għaddew, il-post li jmiss biex tħares lejh huwa l-klassi ta’ problemi konness-imma-offline u mhux ċertifikati li diġà ġew verifikati.