Kva komponent eig eigenleg ei OpenVPN-ruteavgrensing?
Ei ruteavgrensing kan høyre til OpenVPN-motoren, NetworkManager-utvidinga eller tenaren. Nemn eigaren før du endrar ein profil eller hevar eit tal.
Ein profil med to hundre ruter verkar på éin maskin og installerer førti på ein annan. Motoren, integrasjonen som startar han, og tenaren som matar han har kvar sitt ord, og kvar av dei kan stoppe lista på eit ulikt punkt. Les ein feilen som éi enkel avgrensing, vert ein send til feil fil. Mekanismen har tre trinn, og trinnet som stoppa etterlèt synlege spor når ein veit kva ein skal sjå etter.
Tre trinn, tre ulike avgrensingar
Fyrst tolkar motoren valet og avgjer om denne versjonen forstår det. Deretter installerer integrasjonen det motoren rapporterer, og eigen kode kan avgrense eller forme om lista. Til slutt avgjer tenaren kor mange ruter han vil sende til ein gitt identitet, før noko klienttrinn ser noko som helst. Tre trinn, tre tak, og berre eitt av dei er talet i profilen.
Å heve eitt tak gjer ingenting for dei andre. Ei avvist send rute kan vere eit politikkvedtak på tenaren, ei overlapping klienten løyste, eller ei installasjonsavgrensing som kasta overskotet. Kvar av desse har ei anna retting.
Skil dei tre før du måler noko. Ein parserfeil nemner eit symbol, ei installasjonsavgrensing etterlèt ein kort rutetabell, og eit politikkvedtak etterlèt ingenting i det heile. Spora fortel deg kva trinn du skal undersøkje fyrst.
| Stage | Who decides | What you can see |
|---|---|---|
| Parse | Client engine | An error naming the option |
| Install | Activation owner | A route count below the pushed count |
| Offer | Server policy | A route absent from the pushed list |
Parseren snakkar fyrst
Eit ukjent val feilar høgt og tidleg, og feilteksten nemner symbolet. Det er det lettaste trinnet å kjenne att: samanlikn den nøyaktige meldinga med den installerte motorversjonen, for eit val som vart lagt til i ei utgåve er ukjent i den førre. Ein profil kopiert frå ein nyare utrulling er den vanlege kjelda til denne uoverensstemminga. Parseren ignorerer aldri stilt eit direktiv han ikkje kjenner att.
Eit godteke val seier ingenting om resultatet. Parsinga lukkast, og lista kan likevel verte kutta av installasjonen eller aldri tilboden av tenaren. Handsame ei rein paring som løyve til å halde fram, ikkje som prov.
Noter versjonsstrengen frå binæra som faktisk køyrde, ikkje frå førestellinga til pakkehandsamaren om kva som er installert. Dei to er usamde oftare enn venta.
Installasjonen har sitt eige tak
Komponenten som eig aktiveringa kan vere ei NetworkManager-utviding i staden for binæra til motoren, og han kan påtvinge si eiga avgrensing før nokon tunnel finst. Editoren kan vise eit felt som den køyrte motoren aldri les, eller lese eit felt som editoren ikkje viser. Begge situasjonane ser ut som ein klientfeil utanfrå. Ingen av dei vert retta ved å endre profilen.
Tel det som landa i staden for det som vart konfigurert. Kommandoen ip route show dev tun0 viser dei installerte rutene, og å samanlikne det talet med den sende lista skil ei forkasta rute frå ei som aldri vart send. Eit tal som stemmer med sendinga flyttar mistanken tilbake til tenaren.
Ei skalinnpakning rundt binæra til motoren for å tvinge fram eit større tal slører oppgraderingar og gjer tilbakerulling til gissing. Ho gøymer òg den verkelege avgrensinga for alle som les konfigurasjonen neste gong.
Tenaren avgjer kva du vart tilboden
Politikk per klient kan krympe lista før ho vert overført. Ei klientspesifikk fil kan leggje til ruter for éin identitet, eller ein gruppepolitikk kan utelate dei, og klienten kan ikkje skilje ei filtrert rute frå ei som aldri vart definert. Nettopp denne uklarleiken er grunnen til at tenarposten tyder noko. Be om den effektive sendelista for den identiteten, ikkje malen.
Samanlikn tenarposten med den mottekne lista. Gapet mellom dei er politikklaget, og det er vanlegvis mindre enn profilen antydar.
Når designet tillèt det, slå saman tilstøytande nettverk og slett forelda oppføringar. Færre og større ruter løyser fleire tilfelle enn eit høgare tak.
Endre talet på rett stad
Bruk den dokumenterte innstillinga til komponenten som faktisk eig avgrensinga. Viss feltet manglar i utvidinga, sjekk om utvidinga er eldre enn funksjonen eller om ein annan bakgrunn eig rutene. Deretter dokumenterer du versjonane til motoren, utvidinga og tenaren ved sida av verdien du valde. Neste oppgradering opnar spørsmålet på nytt, og notatet er det som gjer det mogleg å svare.
Test på nytt etter kvar oppgradering av kven som helst av dei tre. Ei avgrensing heva på rett stad flyttar seg likevel når komponenten som handhevar ho vert endra. Versjonsnotatet er det einaste som gjer den flyttinga føreseieleg.