Što bypass-dhcp zapravo dodaje OpenVPN-ovu planu ruta

Profil koji nosi redirect-gateway def1 bypass-dhcp spaja IPv4 zamjenu zadane rute s jednom uskom iznimkom. Ljudi pročitaju posljednju riječ i očekuju opće rješenje za mobilne veze, a zatim provedu poslijepodne na DHCP teoriji koju ta zastavica nikada nije podržavala. Svaki dio radi jednu stvar, a iznimka je mnogo manja od svoje reputacije.

Rastavite zastavice prije nego što kvar samo u mobilnoj mreži pripišete dodjeli adresa. Dvije polovice tog niza nemaju nikakve veze jedna s drugom.

Dvije zastavice, dva nepovezana posla

S def1 klijent dodaje dvije IPv4 poluzadane rute umjesto da zamijeni zadanu rutu koja već postoji. 0.0.0.0/1 pokriva donju polovicu adresnog prostora, a 128.0.0.0/1 gornju, pa zajedno dosežu svako odredište, dok svaka ostaje konkretnija od 0.0.0.0/0. Izvorna zadana ruta zato ostaje u tablici bez pobjede na tim pretragama, što stari gateway drži dostupnim za sve što klijent izričito usmjeri. To u tablici ostavlja i dvije zadane rute koje se preklapaju, zbog čega ispis ruta može izgledati čudnije nego što profil sugerira.

bypass-dhcp je zaseban i uopće ne dira zadanu rutu. Priručnik za OpenVPN 2.6 opisuje ga kao dodavanje izravne rute do DHCP poslužitelja koji nije na lokalnoj podmreži, pa promet za obnovu najma izlazi izvan tunela, te napominje da je to ponašanje implementirano na Windows klijentima i da možda nije dostupno drugdje.

Razlog njegova postojanja je mehanički. Kad poluzadane rute preuzmu odlazni promet, DHCP obnova najma usmjerena na poslužitelj u fizičkoj mreži otišla bi u tunel ako nešto ne prikuje tu adresu na stvarno sučelje. Zastavica je prikuje.

Na što se iznimka zapravo odnosi

Ilustrativna tablica nakon uspješne veze pokazuje oblik: dvije poluzadane rute kroz tunel i jedna ruta do hosta DHCP poslužitelja kroz fizički gateway. Čitajte je kao oblik, a ne kao svoje adrese.

0.0.0.0/1        via 10.8.0.1      dev tun0
128.0.0.0/1      via 10.8.0.1      dev tun0
192.168.1.1/32   via 192.168.1.254 dev wlan0

Taj treći red imenuje jedno odredište. To nije postavka resolvera, nije opće dopuštenje za lokalnu mrežu i nije izlazno pravilo na poslužitelju. Telefon na mobilnom prijenosniku možda nema DHCP poslužitelj koji klijent može prepoznati na taj način, zbog čega zastavica ondje ništa ne mijenja.

Provjerite što je klijent stvarno instalirao

Razlikujte opciju zapisanu u profilu, opciju koju nudi poslužitelj i rutu koju je vlasnik veze stvarno primijenio. Klijent koji odbije nepodržanu zastavicu može zadržati ostatak konfiguracije, pa se tunel podigne, a iznimka jednostavno izostane. Čitajte klijentov vlastiti dnevnik i dobivenu tablicu usmjeravanja umjesto da pretpostavite da je redak u datoteci stupio na snagu. Tri od toga mogu biti istodobno istinita, a samo posljednje mijenja kamo paketi stvarno idu.

Držite rutu do VPN krajnje točke istodobno upotrebljivom. Ta iznimka za krajnju točku drukčiji je zahtjev od DHCP iznimke i bez nje tunel može zahvatiti prijenos koji ga održava.

Za odredište aplikacije pregledajte stvarnu pretragu u kontekstu u kojem ne uspijeva. Konkretnije lokalne rute, usmjeravanje po pravilima i izuzeci po aplikacijama svi mijenjaju odgovor, pa prisutnost dviju poluzadanih ruta nije popis svakog toka.

Ostatak puta nije u ovoj zastavici

Poslužitelju i dalje treba dopuštenje za prosljeđivanje klijentova internetskog prometa i izlazni raspored koji ga može vratiti. Nijedna ruta na strani klijenta ne stvara nedostajuće prosljeđivanje ni prevođenje izvora na poslužitelju i nijedna zastavica ne zamjenjuje radni povratni put.

Razrješavanje imena i IPv6 svaki trebaju vlastito pravilo. IPv4 zamjena ni ne usmjerava resolver prema poslužitelju na strani tunela ni ne uspostavlja IPv6 pokrivenost, a klijent koji preusmjerava samo v4 ostavlja put v6 netaknutim.

Usporedite jedan odobren bezopasan zahtjev na radnom i neispravnom putu pristupa, držeći profil i odredište nepromijenjenima. Zabilježite leži li razlika u razrješavanju imena, uspostavi tunela, odabiru rute ili proslijeđenom prometu i čuvajte odgovor uz profil. Taj zapis sprječava sljedeću osobu da okrivi DHCP za problem do kojeg on ne može doći.