Ruter OpenVPN dyttar ut, blir ikkje installerte: tidspunkt, rettar eller policy

Tenaren seier at han har dytta ruta, klienten seier at han er tilkopla, og destinasjonen er framleis utilgjengeleg. Tre årsaker gir nøyaktig det bildet. Rute-tilføyinga køyrde før eininga fanst, klienten mangla rettar til å endre tabellen, eller ein policy bad klienten ignorere dytta alternativ.

Utanfrå ser dei identiske ut og krev ulike rettingar. Les klientloggen på punktet der avgjerda om ruta blir teken.

Prov at ruta manglar, ikkje berre at ho er øydelagd

Byrja med å prove at ruta manglar i staden for å vere øydelagd. På Linux viser ip route show dev tun0 kva klienten har installert på tun-eininga. På Windows viser route print eller Get-NetRoute det same i tabellform.

Ei rute som finst, men ikkje videresender trafikk, er eit anna problem. Det flyttar undersøkinga til videresendings- og brannmurreglar, ikkje til ruteinstallering.

Tidspunkt: tilføyinga køyrde før eininga fanst

Klienten analyserer PUSH_REPLY til tenaren etter at kontrollkanalen er oppe og etter at han har konfigurert grensesnittet. Fyrst då rører han rutetabellen, med den mekanismen plattforma tilbyr. Linux går gjennom netlink; Windows brukar eit API som krev eit forhøgd token. Eit skript eller ein klient som legg til ruter så snart han les konfigurasjonen, kan køyre før TUN/TAP-eininga finst, og kjernen avviser tilføyinga.

Det same kappløpet forklarer kvifor ei handskriven rute verkar medan den automatiske ikkje gjer det: når du skriv ho, er grensesnittet alt oppe.

route-delay finst for dette tilfellet, og route-up namngir eit skript som køyrer etter at grensesnittet og rutene er konfigurerte. Legg ruter som avheng av tunneladressa i den kroken, ikkje i ein tidleg fase.

Rettar: kven kan endre tabellen

Å endre Windows-rutetabellen krev eit forhøgd token. Ein GUI starta av ein vanleg brukar kan setje adapteradressa gjennom tenesta og likevel ikkje kunne leggje til ei rute. Loggen viser då ein feil av typen tilgang nekta i staden for ein manglande push.

Å starte GUI-en som administrator, eller bruke den tenestebaserte klienten, endrar det resultatet. Ein planlagd oppgåve som startar klienten utan det nødvendige tokenet, gjer det ikkje.

Kontroller kva konto klienten faktisk køyrer som før du endrar noko. Versjonen og tenestemodusen avgjer kva årsaker som i det heile er moglege, så noter begge ved sida av ruteutdataa.

Policy: dytta ruter kan forkastast med vilje

route-nopull får klienten til å ignorere ruter tenaren dyttar ut, inkludert ei dytta standardrute, medan tunneladressa framleis blir godteken. Dytta DNS- og DHCP-alternativ blir forkasta av same direktiv. Ein slik klient er ikkje defekt; han ventar eksplisitte rutelinjer i sin eigen konfigurasjon.

route-noexec er ein annan kontroll: han stoppar klienten heilt frå å utføre ruteendringar. Ein topologi klienten ikkje kan kartleggje, kan gi eit liknande resultat, og ruta blir logga som avvist i staden for lagd til. Les logglinja som rapporterer avgjerda, i staden for å gjette kva av dei tre som gjeld. Kontroller deretter den effektive profilen, fordi ein importør eller eit administrasjonsverktøy kan leggje til alternativ brukaren aldri har redigert.

Ein profil som ser rein ut i ein teksthandsamar, kan framleis bere eit tilføyd direktiv under køyring.

Samanlikn pushlista med tabellen

Etter tilkopling set du pushlista til tenaren ved sida av tabellen til klienten. På Linux er det ip route show dev tun0; på Windows route print eller Get-NetRoute. Viss ruta manglar, rett installasjonen fyrst. Viss ho finst og trafikken sviktar, gå vidare til videresendings- og brannmurpolicy.

Noter klientversjonen, kontoen han køyrer som, og om han er tenestebasert. Dei tre faktaa fortel neste person kva årsaker som er utelukka.