Chýbajúca trasa VPN v NetworkManageri: politika profilu alebo skript?

Pripojíte sa, objaví sa rozhranie tunela a jeden potrebný prefix jednoducho v tabuľke nie je. Ďalším krokom je zvyčajne hľadanie skriptu, ktorý ho pridá. To hľadanie vedie k odpovediam, ktoré do profilu vlepia pomocníka OpenVPN, a polovica tých odpovedí situáciu zhorší namiesto zlepšenia, pretože chýbajúca trasa má troch možných vlastníkov a len jeden z nich je chýbajúci skript.

Rozhodnite, ktorý vlastník je zodpovedný, kým niečo napíšete.

Traja vlastníci, jeden chýbajúci prefix

Prefix môže chýbať preto, že ho nikto neposkytol, pretože ho profil odmietol, alebo pretože bol nainštalovaný niekde, kam sa nepozeráte. Sú to rôzne poruchy a majú rôzne opravy.

Prvú je najľahšie overiť: ponúkol server alebo doplnok trasu niekedy? Backend, ktorý prefix nikdy nedostal, ho nemôže nainštalovať, a pomocný skript nemôže vymyslieť dostupnosť, ktorú protistrana nikdy neopísala. Druhá je politika profilu, ktorá môže potlačiť trasy, ktoré by spojenie inak prijalo. Tretia je tabuľka alebo pravidlo, ktoré môže držať trasu na mieste, kam sa predvolené vyhľadávanie nikdy nepozrie.

Štvrtý vlastník ste vy, neskôr: skript, ktorý trasu pridá pri pripojení, ale neodstráni ju pri odpojení. To vytvorí prefix, ktorý prežije tunel, ukazuje na mŕtve rozhranie a mätie ďalšieho človeka, ktorý bude stroj ladiť.

Prečítajte si profil, kým niečo pridáte

Začnite vlastnosťami uloženého pripojenia. Čítajte ich bez vylievania tajomstiev a použite UUID, ak je názov profilu nejednoznačný.

nmcli -f vpn.service-type,ipv4.never-default,ipv4.ignore-auto-routes,ipv4.route-table,ipv4.routes connection show office

vpn.service-type vám povie, ktorý backend pripojenie vlastní, a to je dôležité, pretože údaje doplnku sú špecifické pre backend. Kľúč prijímaný jedným doplnkom nie je podporovaná inštrukcia pre iný, takže úryvok skopírovaný z dokumentácie iného klienta nie je dôkazom ničoho.

ipv4.ignore-auto-routes a ipv4.never-default odpovedajú na rôzne otázky. Prvý môže odmietnuť trasy, ktoré by spojenie inak prijalo automaticky, a druhý riadi, či sa profil môže stať predvolenou trasou. Profil, ktorý ignoruje automatické trasy a nespolieha sa na nič iné, sa pripojí čisto a nenainštaluje takmer nič.

ip -4 rule show
ip -4 route show table all

Tieto dva príkazy vyriešia tretiu možnosť. Hľadajte svoj prefix v každej tabuľke, nielen v main, a skontrolujte, či pravidlo politiky neposiela príslušné vyhľadávanie inam. Ak je prefix v inej tabuľke a nič ho nekontroluje, nemáte chýbajúcu trasu; máte vyhľadávanie, ktoré k nej nikdy nedospeje.

Čo skript nedokáže opraviť

Pridanie pomocného skriptu dá vpn.data v NetworkManageri program na spustenie. Je to skutočný mechanizmus a pri väčšine týchto prípadov je nesprávny, pretože skript dostane kontrolu po tom, ako politika profilu už rozhodla, čo prijať.

script-security v OpenVPN je ďalšia opakujúca sa zámena. Je to nastavenie OpenVPN, ktoré určuje, ktoré skripty klient smie spúšťať a čo smie vložiť do ich prostredia; úroveň 3 umožňuje prenášať prihlasovacie údaje prostredím, čo je rozhodnutie o zaobchádzaní s tajomstvami, nie oprava smerovania. Vlepenie do profilu, ktorého backend nie je OpenVPN, alebo jeho zvýšenie, keď ho žiadny skript nepotrebuje, pridáva expozíciu bez pridania trasy.

Potom je tu reflex reštartu. Reštart služby NetworkManager strhne a znova postaví každé spravované spojenie, vrátane toho, cez ktoré ste pripojení, ak pracujete vzdialene. Je to rušivá akcia, nie neškodná diagnostika, a na serveri môže byť rozdielom medzi reláciou, ktorá prežije, a tou, ktorá nie.

Rozhodnutie, v poradí

Položte tri otázky za sebou. Poskytla protistrana prefix, čo ukáže log backendu alebo jeho vlastný výstup stavu? Ak áno, je profil nakonfigurovaný prijímať a inštalovať trasy, alebo ich potláča? Ak trasa niekde existuje, je cesta vyhľadávania správna pre prevádzku, ktorú testujete?

Až keď je prvá odpoveď áno, druhá áno a tretia správna, stáva sa doplnkový skript obhájiteľným, a aj vtedy by ste sa mali spýtať, či backend trasu podporuje natívne. Referenčná príručka nastavení VPN dokumentuje service-type a slovník údajov špecifický pre doplnok, a práve tam treba začať, kým predpokladáte, že kľúč existuje.

Po schválenej oprave sa znova pripojte a otestujte cieľ podľa adresy a potom podľa mena, potom sa odpojte a znova pripojte, aby ste potvrdili, že stav je opakovateľný. Jeden vlastník, jedna tabuľka a trasa, ktorá zmizne s tunelom, je výsledok, ktorý stojí za to.