Líšia sa importované trasy VPN od fungujúceho klienta? Porovnajte oba

Nejaká súkromná služba odpovedá cez VPN, kým bežná internetová prevádzka sa správa úplne inak než na počítači kolegu, a človek má chuť usúdiť, že klient Ubuntu je pokazený. Ten záver preskakuje jeden krok. Fungujúca súkromná operácia a odlišná verejná cesta sú dve pozorovania a rozdiel zvyčajne spočíva v dopravnej politike, ktorú nainštaloval každý klient, nie v samotnom klientovi.

Porovnanie uloženej konfigurácie so skutočným stavom siete si vyžiada tri príkazy a odpovie na otázku, na ktorú sa hádanie snažilo odpovedať.

Najprv uložený profil, potom skutočný stav

Importované pripojenie OpenVPN sa stane samostatným profilom NetworkManager. Súbor .ovpn, z ktorého pochádza, prestane byť zdrojom pravdy v okamihu dokončenia importu, takže neskoršia úprava tohto súboru nič nemení na pripojení, ktoré používate. Toto je prvé miesto, kde porovnanie ide zle, a ide zle potichu.

nmcli -f connection.id,connection.uuid,ipv4.never-default,ipv4.routes,ipv4.dns connection show office-vpn

Čítajte UUID, keď sa názvy zrážajú; duplicitné názvy prežijú preinštalovania aj obnovy profilov a hodinu môžete stráviť úpravou kópie, ktorá sa nepoužíva. Hodnoty, ktoré vidíte, opisujú uložený zámer: či profil môže prevziať predvolenú trasu, ktoré trasy boli uložené a ktoré resolvery a domény vyhľadávania požaduje. Neopisujú, čo sa stalo pri aktivácii pripojenia, pretože plugin alebo push zo servera môžu pridať stav, ktorý profil neuvádza. Preto je dôležitý nasledujúci príkaz.

Potom sa pozrite, čo systém s tým zámerom skutočne urobil, vrátane pravidiel politiky a každej tabuľky, nielen hlavnej. Uložené vlastnosti sú vstup a nainštalované tabuľky sú výsledok.

ip -4 rule show
ip -4 route show table all

Dva ciele, jedno porovnanie

Vyberte jeden fungujúci súkromný cieľ a jeden bežný verejný cieľ, potom sa jadra opýtajte, akou cestou by išiel každý z nich. Práve vykonanie tohto na oboch počítačoch mení hmlistý rozdiel na konkrétny.

ip -4 route get 10.40.0.20
ip -4 route get 203.0.113.20

Adresy sú príklady na nahradenie vašimi vlastnými; dôležitá je dvojica, nie čísla. Porovnajte rozhranie, zdrojovú adresu a tabuľku uvedenú v každom výstupe. Keď súkromné vyhľadanie uvádza tunel a verejné vyhľadanie tiež uvádza tunel, máte plný tunel a druhý klient môže mať rozdelený, alebo naopak.

Nevyžadujte, aby obaja klienti vypísali identický text. redirect-gateway def1 v OpenVPN sa zvyčajne vyjadruje ako dve trasy s polovičným prefixom namiesto jednej predvolenej a správca, ktorý ich zobrazuje inak, tým nie je nesprávny. Hodnoťte pokrytie, ktoré ukazujú vyhľadania, nie formátovanie.

Kde sa obaja klienti legitímne líšia

Predvolené nastavenia klientov sú voľby politiky a môžu si protirečiť. Jeden produkt môže uprednostňovať plný tunel, iný zachová lokálnu predvolenú trasu a smeruje len súkromné prefixy a tretí nasleduje to, čo poslal server. Rozdiel je chybou len vtedy, keď odporuje požiadavke, ktorú ste dostali.

Preto porovnávajte každého klienta so schváleným zámerom rozdeleného alebo plného tunela, nie navzájom. Ak požiadavka znie, že súkromná prevádzka má používať tunel a lokálna internetová cesta má zostať lokálna, potom je plný tunel chybou a rozdelený tunel je správny, bez ohľadu na to, ktorý klient čo urobil. Zapíšte zámer predtým, než sa pozriete na ktorúkoľvek konfiguráciu, inak sa prvý klient, ktorého preskúmate, potichu stane štandardom.

DNS je druhá os a zlyháva nezávisle. Správna trasa môže stále posielať dopyty resolveru, ktorý nevie odpovedať za súkromnú zónu, a správny resolver neopraví nesprávnu trasu. Skontrolujte oboje a súkromné meno, ktoré sa prekladá, kým súkromná adresa nie, berte ako dôkaz, že obe vrstvy sa riešia oddelene.

Udržte porovnanie čisté

Spúšťajte jedného vlastníka pripojenia naraz. Relácia OpenVPN z príkazového riadka spustená vedľa importovaného profilu nainštaluje vlastné trasy a vlastný stav resolvera a výsledná zmes nie je správaním ani jedného klienta. Pred meraním druhého jeden odstráňte. Ak si nie ste istí, čo ešte drží stav, reštartujte, pretože zastaraná trasa spred hodiny bude vyzerať presne ako problém politiky.

Udržte pevné aj všetko ostatné: rovnaký koncový bod, rovnaký účet, rovnaké verzie softvéru, rovnaká sieť. Úspech na Windows notebooku kolegu testuje iného klienta, inú integráciu resolvera a možno iný profil servera, takže to nie je dôkaz o správcovi Ubuntu.

Referencia nastavení IPv4 v NetworkManager presne definuje never-default a vlastnosti uložených trás, čo sa oplatí prečítať pred zmenou spravovanej hodnoty. A pamätajte na rozsah tohto porovnania: týka sa IPv4 a nič nehovorí o zodpovedajúcej politike IPv6, ktorá má vlastné predvolené hodnoty a vlastný spôsob prekvapenia.