Trasy vtláčané OpenVPN sa neinštalujú: časovanie, práva alebo politika

Server tvrdí, že trasu vtláčil, klient tvrdí, že je pripojený, a cieľ je stále nedostupný. Presne tento obraz vytvárajú tri príčiny. Pridanie trasy prebehlo skôr, než zariadenie existovalo, klientovi chýbali práva na zmenu tabuľky, alebo politika prikázala klientovi ignorovať vtláčané voľby.

Zvonka vyzerajú rovnako a vyžadujú rôzne opravy. Prečítajte klientsky log v mieste, kde sa rozhodnutie o trase prijíma.

Dokážte, že trasa chýba, nie že je len pokazená

Začnite dôkazom, že trasa chýba, a nie že je pokazená. V Linuxe ip route show dev tun0 vypíše, čo klient nainštaloval na tunelové zariadenie. Vo Windows route print alebo Get-NetRoute ukáže to isté v tabuľkovej podobe.

Trasa, ktorá existuje, ale nepreposiela prevádzku, je iný problém. To presúva vyšetrovanie k pravidlám preposielania a firewallu, nie k inštalácii trasy.

Časovanie: pridanie prebehlo skôr, než zariadenie existovalo

Klient analyzuje PUSH_REPLY servera po tom, ako je riadiaci kanál zdvihnutý a ako nakonfiguroval rozhranie. Až potom sa dotkne smerovacej tabuľky, a to mechanizmom, ktorý platforma ponúka. Linux ide cez netlink; Windows používa API, ktoré vyžaduje zvýšený token. Skript alebo klient, ktorý pridáva trasy hneď po prečítaní konfigurácie, môže prebehnúť skôr, než zariadenie TUN/TAP existuje, a jadro pridanie odmietne.

Rovnaký pretek vysvetľuje, prečo ručne napísaná trasa funguje, a automatická nie: kým ju napíšete, rozhranie už je hore.

route-delay existuje práve pre tento prípad a route-up pomenúva skript, ktorý sa spustí po nakonfigurovaní rozhrania a trás. Trasy závislé od adresy tunela umiestnite do tohto háku, nie do rannej fázy.

Práva: kto smie meniť tabuľku

Zmena smerovacej tabuľky Windows vyžaduje zvýšený token. GUI spustené bežným používateľom môže nastaviť adresu adaptéra cez službu a napriek tomu trasu pridať nedokáže. Log potom ukáže chybu typu prístup zamietnutý namiesto chýbajúceho vtláčania.

Spustenie GUI ako správca alebo použitie klienta založeného na službe tento výsledok mení. Naplánovaná úloha, ktorá spúšťa klienta bez potrebného tokenu, nie.

Pred akoukoľvek zmenou overte pod akým účtom klient skutočne beží. Verzia a režim služby rozhodujú, ktoré príčiny sú vôbec možné, preto zapíšte oboje vedľa výstupu trasy.

Politika: vtláčané trasy možno zámerne zahodiť

route-nopull núti klienta ignorovať trasy, ktoré server vtláča, vrátane vtláčanej predvolenej trasy, pričom adresa tunela sa stále prijíma. Vtláčané voľby DNS a DHCP sa zahadzujú tou istou direktívou. Taký klient nie je chybný; očakáva výslovné riadky trás vo vlastnej konfigurácii.

route-noexec je iná kontrola: úplne zastaví klienta vo vykonávaní zmien trás. Topológia, ktorú klient nedokáže zmapovať, môže dať podobný výsledok, pričom trasa sa zaloguje ako odmietnutá, nie pridaná. Prečítajte riadok logu, ktorý hlási rozhodnutie, namiesto hádania, ktorá z troch príčin platí. Potom skontrolujte efektívny profil, pretože importér alebo nástroj správy môže pridať voľby, ktoré používateľ nikdy neupravoval.

Profil, ktorý v textovom editore vyzerá čisto, môže za behu napriek tomu niesť pridanú direktívu.

Porovnajte zoznam vtláčania s tabuľkou

Po pripojení položte zoznam vtláčania servera vedľa tabuľky klienta. V Linuxe to je ip route show dev tun0; vo Windows route print alebo Get-NetRoute. Ak trasa chýba, najprv opravte inštaláciu. Ak existuje a prevádzka zlyháva, prejdite k politike preposielania a firewallu.

Zapíšte verziu klienta, účet, pod ktorým beží, a či je založený na službe. Tieto tri fakty povedia ďalšiemu človeku, ktoré príčiny boli vylúčené.