Prečo samotný route-nopull necháva súborový server nedostupný
Ignorovať vnútené trasy je len polovica rozdeleného tunela. Vyberte vlastníka trasy, pridajte kancelársky prefix ručne a otestujte tri toky, než to vyhlásite za opravené.
Súborový server sa otvára v poriadku a videohovor v susednom okne začína trhať. Nič nie je pomalé a žiadne MTU nie je nesprávne: váš klient prevzal zoznam trás, ktorý mu server poskytol, takže každý paket teraz vychádza cez kancelársky firewall. Oprava nie je ďalší ladiaci prepínač, ale rozhodnutie o tom, komu patrí smerovacia tabuľka klienta. To rozhodnutie patrí na jedno miesto a režimy zlyhania nižšie vám povedia, ktoré miesto ste skutočne zvolili.
Rozhodnite, komu patrí smerovacia tabuľka
Možní sú traja vlastníci. Server môže vnucovať trasy a predvolenú bránu, a potom klient nainštaluje, čo sa mu povie, a stane sa plným tunelom. Klientsky profil môže prevziať vlastníctvo tým, že vnútené hodnoty zahodí a ponesie vlastné riadky trás. Správca pripojení na ploche môže rozhodnutie vlastniť aj prostredníctvom svojich vlastností trasy a predvolenej trasy.
Každá voľba zlyháva inak, a preto sa tabuľku oplatí prečítať pred úpravou profilu. Riadok, ktorý zodpovedá vášmu príznaku, je vlastník, ktorého skutočne máte.
| Owner | Where it lives | Result |
|---|---|---|
| Server | server config, redirect-gateway, pushed routes | client becomes a full tunnel |
| Profile | route-nopull and its own route lines | tunnel up, office prefix missing |
| Manager | never-default plus its own routes | desktop decides, profile ignored |
Vyberte jeden a zapíšte ho. Zmiešanie dvoch nechá hostiteľa, ktorého predvolená cesta odporuje vlastnej dokumentácii, a ďalší inžinier nemôže zistiť, ktorá vrstva vyhrala. Porazeného výslovne vymažte.
route-nopull filtruje vnútené hodnoty, nepridáva trasy
route-nopull patrí do klientskeho profilu a jeho poradie v tomto súbore nie je podstatné, pretože iba zahadzuje hodnoty prichádzajúce zo servera. Zahadzuje vnútené trasy vrátane vnútenej predvolenej trasy, zatiaľ čo tunel stále normálne nabieha.
Dôsledok, ktorý ľudia prehliadajú, je, že vnútené voľby DHCP idú s nimi. Nastavenia DNS odoslané serverom sa tiež zahadzujú, takže interné mená prestanú byť prekladané, aj keď je tunel zdravý a server je dostupný na adrese.
Tým zostane tunel bez cesty ku kancelárskemu prefixu, ak ju nepridáte sami: route-nopull nasledované route 10.30.0.0 255.255.0.0 v tom istom profile. Tento riadok nesie adresu a masku; nepomenúva ďalší hop.
Alternatívna forma pridáva token brány, route 10.30.0.0 255.255.0.0 vpn_gateway, ktorý smeruje záznam na tunel podľa mena. Importéry sa líšia v tom, či tento variant prekladajú, takže ak záznam v tabuľke jadra chýba, prezrite uložené pripojenie.
Overujte vyhľadaním trás, nie pingom
Ping vám povie, že niečo odpovedalo. Vyhľadanie trasy vám povie, ktoré rozhranie by jadro zvolilo, a to je otázka, ktorú ste skutočne položili. Štyri krátke príkazy oddeľujú chýbajúcu trasu od trasy ukazujúcej na nesprávne zariadenie.
Prečítajte, čo tunel nainštaloval, pomocou ip route show dev tun0. Úplná absencia výstupu znamená nula trás, čo nie je fungujúci rozdelený tunel, a je to obvyklý výsledok pridania filtra bez výslovného riadku.
Potom skontrolujte jednu kancelársku adresu pomocou ip route get 10.30.5.7 a jednu bežnú internetovú adresu pomocou ip route get 1.1.1.1. Druhá by mala pomenovať fyzické rozhranie; ak pomenuje tunel, vnútenie nebolo vôbec filtrované.
Nakoniec prečítajte ip rule, pretože pravidlo politiky ponechané predchádzajúcim pokusom môže prepísať tabuľku, ktorú ste práve opravili. Správny profil so zastaraným pravidlom navrchu vyzerá presne ako pokazený profil. Vymažte pravidlo, ktoré ste pridali minule, skôr než pridáte ďalšie.
Prekrývajúce sa podsiete vyzerajú ako pokazený tunel
Dva súkromné rozsahy môžu byť z pohľadu klienta totožné, a práve tam je rozdelený tunel obviňovaný z niečoho, čo nespôsobil. Ak kancelária prideľuje rovnaký prefix, aký používa váš domáci router, trasa tunela pokrýva router a domáca sieť vyzerá, že zmizla.
Porovnajte adresu na vlastnom rozhraní s trasou, ktorú profil inštaluje, pomocou obyčajného zoznamu adries, skôr než čokoľvek zmeníte. Prekrytie je skutočné a žiadna voľba profilu ho nerieši. Čo môžete opraviť, je pomenovanie, aby ďalší človek videl dva rozsahy namiesto jedného.
Poctivé opravy sú prečíslovať jednu stranu alebo prekladať adresy v kancelárii. Pripnutie jedinej trasy hostiteľa k routeru funguje, kým sa adresa routera nezmení, a potom sa z toho stane druhá záhada navrch prvej.
Nechajte rozhodnutie prežiť opätovné pripojenie
Záznamy zadané ručne neprežijú opätovné pripojenie a správca pripojení prestavia tabuľku pri každom spustení profilu. Umiestnite rozhodnutie tam, kde sa pripojenie vytvára, či už je to profil alebo uložené nastavenia správcu. Potom raz zámerne reštartujte pripojenie, namiesto toho, aby ste správanie objavili počas hovoru. Profil, ktorý funguje len do ďalšieho opätovného pripojenia, nie je hotový.
Precvičte tri cesty naraz: kancelárskeho hostiteľa podľa doslovnej adresy, toho istého hostiteľa podľa mena a bežnú verejnú stránku. Prostredná závisí od služby mien, ktorú ste nakonfigurovali po zahození vnútených volieb DNS, a práve tá ticho zlyháva.