OpenVPN route-nopull සැබවින්ම සර්වර් තල්ලු කිරීම වළක්වන්නේ කුමක්ද
route-nopull තල්ලු කළ මාර්ග සහ DHCP විකල්ප ඉවත් කරයි, හස්ත සම්පර්කය නොවේ. එය, pull-filter හෝ කිසිවක් නොවන අතර තෝරා, පසුව මාර්ග ඔබම එක් කරන්න.
ඔබ ක්ලයන්ට් පැතිකඩක route-nopull තැබුවේ ටනලය ඔබේ පෙරනිමි මාර්ගය ගිල නොගැනීමටය, දැන් කාර්යාල උපජාලය ළඟා විය නොහැකි අතර ක්ලයන්ට් තවමත් සම්බන්ධයි කියයි. දෙකම සත්‍යය, කිසිවක් අසාර්ථක නොවීය. මෙම කොඩිය ක්ලයන්ට්ට කියන්නේ සර්වර් තල්ලු කරන මාර්ග සහ DHCP සටහන් මඟ හරින්න, එය එකතු කරන විට බොහෝ දෙනා බලාපොරොත්තු වනවාට වඩා පටු උපදෙසකි. ඉතිරි වන්නේ කුමන ගමනාන්ත එය භාවිතා කළ යුතු ද යන්න පිළිබඳ මතයක් නොමැති ක්‍රියාකාරී ටනලයකි.
එම පරතරය මෙම ලේඛනයේ විෂය වන මුළු තීරණයයි. එක්කෝ සර්වර් ජාලය විස්තර කරයි, නැතහොත් ක්ලයන්ට්, සහ කොඩිය එම කාර්යය ඔබ වෙනුවට කිසිවක් නොකර ක්ලයන්ට්ට පවරයි.
සම්බන්ධ වන විට කොඩිය කුමක් නිවා දමයි
අදින OpenVPN ක්ලයන්ට් සාමාන්‍යයෙන් සත්‍යාපනයෙන් පසු සර්වර්ගෙන් මිටියක් ලබා ගනී: මාර්ග, පෙරනිමි ගේට්වේ යළි යොමු කිරීම, DNS සර්වර් සහ යම් සැකසුම් උපදෙස්. route-nopull බලපැවැත්වෙන විට ක්ලයන්ට් තවමත් සැසිය පිළිගනී, තවමත් සහතික තහවුරු කරයි, තවමත් සයිෆර් සහ keepalive සාකච්ඡා කරයි, සහ තවමත් අතුරුමුහුණත ඔසවයි. එය ඉවත් කරන්නේ තල්ලු කළ route පේළි සහ තල්ලු කළ dhcp-option පේළි යෙදීමයි, DNS ඇතුළුව.
ව්‍යාකූලත්වය පැමිණෙන්නේ මළ යෙදුමක් අසල ඇති කොළ පැහැති දර්ශකයකිනි. ටනලය ඇත; ගමනාන්ත එම ටනලයට සිතියම් කිරීම නැත. ක්ලයන්ට් තත්ත්ව පුවරුවේ කිසිවක් «සම්බන්ධයි සහ මාර්ගගත කරයි» සහ «සම්බන්ධයි නමුත් අක්‍රීයයි» අතර වෙනස්කම් නොකරයි, මන්ද ටනලයේ දෘෂ්ටි කෝණයෙන් දෙකම එකම තත්ත්වයකි.
ජීවමාන ටනලයක් තවමත් කිසිවක් මාර්ගගත නොකරන්නේ ඇයි
අතුරුමුහුණත තමන්ගේම ලිපිනය සමඟ දිස්වන අතර ලක්ෂ්‍යයේ සිට ලක්ෂ්‍යයට සබැඳියක සාමාන්‍යයෙන් සහකරු වෙත යන සත්කාරක මාර්ගයට වඩා නිශ්චිත කිසිවක් නොමැත. පුද්ගලික උපජාලයක් ළඟා විය හැක්කේ යම් මාර්ගයක් නිවැරදි උපසර්ගය සමඟ එම අතුරුමුහුණතට යොමු වූ විට පමණක් වන අතර තල්ලු කිරීම අක්‍රීය වූ විට එම මාර්ගය කිසිදා නොපැමිණේ. බාගත කළ පැතිකඩද සාමාන්‍යයෙන් උදව් කළ නොහැක, මන්ද එය ලියා ඇත්තේ සර්වර් හරියටම මෙම තොරතුරු සපයනු ඇතැයි යන උපකල්පනය මතය. එබැවින් අතුරුමුහුණත සුවපහසු ලෙස පෙනෙන අතර උපජාලය අඳුරුව පවතී.
එබැවින් පැතිකඩ කියවීම ඉතා අල්පයක් පමණක් ඔප්පු කරයි. ඒ වෙනුවට සම්බන්ධිත යන්ත්‍රයේ ධාවන තත්ත්වය කියවන්න:
ip addr show tun0
ip route show dev tun0
ip route get 10.20.5.10දෙවන විධානයේ උපජාල මාර්ගයක් නොමැති ලිපිනය මෙම ගැටලුවේ අත්සනයි. තෙවන විධානය පසුව පරිශීලකයින්ට සැබවින්ම වැදගත් ප්‍රශ්නයට පිළිතුරු දෙයි, මන්ද එය ඔබ භාවිතා කරනු ඇතැයි බලාපොරොත්තු වූ ලැයිස්තුව වෙනුවට නිශ්චිත ගමනාන්තයක් සඳහා කර්නලය තෝරන අතුරුමුහුණත වාර්තා කරයි. එය ඔබේ භෞතික සබැඳිය හරහා පිළිතුරු දෙන්නේ නම්, ටනලය මාර්ගයේම නැත.
නම් විසඳීම අසාර්ථක වන්නේ වෙනත් හේතුවකින් නොව සම්බන්ධ හේතුවකිනි. තල්ලු කළ dhcp-option DNS සටහන් එම කොඩියෙන්ම මඟ හරිනු ලැබේ, එබැවින් අභ්‍යන්තර සත්කාරක සඳහා විමසුම් ස්ථානීය ජාලය සපයා ඇති ඕනෑම විසඳන්නෙකු වෙත යයි. එම විසඳන්නාට කාර්යාලය සඳහා කලාපයක් නැත, එබැවින් විමසුම අසාර්ථක වේ හෝ පොදු පිළිතුරක් ලබා දෙයි, සහ අසාර්ථකත්වය සර්වර් ගැටලුවක් ලෙස පෙනෙන අතර එය ක්ලයන්ට් වින්‍යාස ගැටලුවකි. නමට පෙර ලිපිනය පරීක්ෂා කිරීම දෙකම වෙන් කරයි.
කොඩිය සහ උපසර්ග පෙරහන අතර තේරීම
විකල්ප දෙක එකම පැමිණිල්ලේ වෙනස් හැඩතල විසඳයි, නරක තේරීම «සම්බන්ධයි නමුත් නිෂ්ප්‍රයෝජනයි» තත්ත්වය නිර්මාණය කරයි. එකක් තල්ලු කළ ප්‍රතිපත්තිය සම්පූර්ණයෙන්ම ප්‍රතිස්ථාපනය කරයි, අනෙක එය උපසර්ගයෙන් සංස්කරණය කරයි. වගුව කෙටි අනුවාදය දෙයි, එයට පසු ඡේදය මිනිසුන් අල්ලා ගන්නා කොටස ආවරණය කරයි.
| Setting | What the client keeps | Reasonable when |
|---|---|---|
| no option | every pushed route and DHCP entry | the server's view of the network is correct |
route-nopull | the session, none of the pushed routing or DNS | you will write the full local policy yourself |
pull-filter | everything except lines matching your prefixes | the push is nearly right and one or two lines are wrong |
pull-filter ක්‍රියා පද තුනක් සහිත උපසර්ග ගැළපුම්කරුවෙකි, එබැවින් එය පේළි පවුලක් පිළිගත හැක, නිශ්ශබ්දව නොසලකා හැරිය හැක, නැතහොත් උපසර්ගයක් දිස් වූ විට සම්බන්ධතාවය සම්පූර්ණයෙන්ම ප්‍රතික්ෂේප කළ හැක. දැන ගැනීම වටින්නේ අවසාන හැසිරීමයි: ප්‍රතික්ෂේප කිරීමේ නියමයක් ප්‍රතිපත්ති එකඟ නොවීම නිශ්ශබ්දව ඉවත් කිරීම වෙනුවට අසාර්ථක හස්ත සම්පර්කයක් බවට පත් කරයි. OpenVPN 2.6 අත්පොත පිළිගත් උපසර්ග සහ එක් එක් ක්‍රියා පදයේ නිශ්චිත අර්ථය ලැයිස්තුගත කරයි.
සාමාන්‍ය මධ්‍ය මාර්ගය වන්නේ redirect-gateway පමණක් ප්‍රතික්ෂේප කර කාර්යාල මාර්ග සහ DNS අපේක්ෂිත පරිදි පැමිණීමට ඉඩ දීමයි. එය සර්වර් ඔබට වඩා හොඳින් තේරුම් ගන්නා කොටස් සඳහා තල්ලු කිරීම ක්‍රියාකාරීව තබා ගනිමින්, එම අතරම ඔබේ පෙරනිමි මාර්ගය අල්ලා ගනු ඇති එම එකම පේළිය වළක්වයි.
අතින් මාර්ග සහ විසඳන්නෙකු එක් කිරීම
ඔබ කොඩිය තබා ගන්නේ නම්, පැතිකඩ කියන්නේ සර්වර් කියනු ඇති දේ. ක්ලයන්ට් පැත්තේ route උපදෙස් සම්බන්ධතාවය ස්ථාපිත වූ පසු යෙදෙන බැවින් ඒවා කොඩිය සමඟ ක්‍රියා කරයි, එයින් අවහිර නොවේ. ඒවා පැතිකඩේ තබන්න, අන්තර්ක්‍රියාකාරී විධාන පේළියේ නොව, නැතහොත් ඊළඟ නැවත සම්බන්ධ වීම ක්‍රියාකාරී තත්ත්වය නැවත නිපදවන්නේ නැත.
route-nopull
route 10.20.0.0 255.255.0.0
dhcp-option DNS 10.20.0.53DNS පේළිය අපහසු තැනක ඇත: එය ක්ලයන්ට් පැත්තේ උපදෙසක් වන නමුත් සමහර ක්ලයන්ට් එය යෙදන්නේ වේදිකාවේ DNS ඒකාබද්ධ කිරීම හරහා පමණක් වන අතර, සබැඳිය වෙනස් වන විට එය උඩින් ලිවිය හැක. systemd සත්කාරකයක විසඳන්නා කෙලින්ම ටනල අතුරුමුහුණතේ සැකසීම ක්ලයන්ට් ප්‍රමුඛතා තරඟය දිනාවි යැයි බලාපොරොත්තු වීමට වඩා අනාවැකි කළ හැකිය:
resolvectl dns tun0 10.20.0.53
resolvectl domain tun0 ~corp.example.comමාර්ගගත කිරීමේ වසම ලිපිනය තරම්ම වැදගත්ය. එය නොමැතිව පොදු නම් සඳහා විමසුම්ද අභ්‍යන්තර විසඳන්නා වෙත යැවිය හැක, සහ පුනරාවර්තනය ප්‍රතික්ෂේප කරන ඕනෑම අභ්‍යන්තර විසඳන්නෙකු පුද්ගලික කලාපය ක්‍රියාත්මකව තබා බ්‍රවුස් කිරීම බිඳ දමයි. එය සමඟ එම උපසර්ගය යටතේ ඇති නම් පමණක් ටනල විසඳන්නා වෙත මාර්ගගත වන අතර අනෙක් සියල්ල භෞතික සබැඳිය අනුගමනය කරයි.
ප්‍රතිඵලය පරීක්ෂා කිරීම: ලිපිනය, නම සහ පිටත මාර්ගය
පරීක්ෂණ තුනක් හැකි අසාර්ථකතා වෙන් කරයි. පළමුව IP මගින් පුද්ගලික ලිපිනය ලබා ගන්න, පසුව නම මගින් එම සත්කාරකය, පසුව සාමාන්‍ය පොදු අඩවියක්. ක්‍රියා කරන IP සහ අසාර්ථක නම විසඳන්නා වෙත යොමු කරයි; අසාර්ථක IP සහ ක්‍රියා කරන නම මාර්ගගත කිරීම වෙත යොමු කරයි; දෙකම අසාර්ථක නම් සාමාන්‍යයෙන් ටනලය මාර්ගයේ නැත.
පසුව ඇතුළට නොව පිටතට බලන්න. ටනලයේ අන්ත ලක්ෂ්‍යයේම මාර්ගය වෙනසට ඔරොත්තු දිය යුතු අතර, ඕනෑම අවහිර කරන අසාර්ථකත්වයක් අන්ත ලක්ෂ්‍යය අල්ලා නොගෙන ටනලයට සීමා විය යුතුය. ටනලය වැටුණු පසුවත් බ්‍රවුස් කරන ක්ලයන්ට් මාර්ගගත කිරීමේ නොව ප්‍රතිපත්ති ගැටලුවකි, එය ඉහත පරීක්ෂණ තුනෙන් කිසිවක නොපෙනේ.
අවසාන ලැයිස්තුව පැතිකඩේ ලේඛනගත කිරීම්වල ලියන්න: මාර්ග, විසඳන්නා, වසම් සහ එක් එක් ඇති වීමට හේතුව. එම වගුවම නැවත නිපදවන නැවත සම්බන්ධ වීම ස්ථානීය ප්‍රතිපත්තිය සම්පූර්ණ බවට ඇති එකම සාක්ෂියයි. ටනලය ඉහළින් ඇති විට සහ පරීක්ෂණ තුනම සමත් වූ විටත් යෙදුම් අසාර්ථක වන්නේ නම්, ඊළඟ බැලිය යුතු තැන දැනටමත් තහවුරු කළ සහතික නොව «සම්බන්ධයි නමුත් නොබැඳි» ගැටලු පන්තියයි.