Poti, ki jih potiska OpenVPN, niso nameščene: čas, pravice ali politika

Strežnik pravi, da je pot potisnil, odjemalec pravi, da je povezan, cilj pa je še vedno nedosegljiv. Točno to sliko ustvarijo trije vzroki. Dodajanje poti se je izvedlo, preden je naprava obstajala, odjemalcu so manjkale pravice za spremembo tabele, ali pa je politika odjemalcu ukazala, naj potisnjene možnosti prezre.

Od zunaj so videti enake in zahtevajo različne popravke. Preberite dnevnik odjemalca na točki, kjer se sprejme odločitev o poti.

Dokažite, da pot manjka, ne le da je pokvarjena

Začnite z dokazom, da pot manjka in ni le pokvarjena. V Linuxu ip route show dev tun0 navede, kaj je odjemalec namestil na tunelsko napravo. V Windowsu route print ali Get-NetRoute pokaže isto v obliki tabele.

Pot, ki obstaja, a ne posreduje prometa, je druga težava. To preusmeri preiskavo na pravila posredovanja in požarnega zidu, ne na namestitev poti.

Čas: dodajanje se je izvedlo, preden je naprava obstajala

Odjemalec analizira PUSH_REPLY strežnika, potem ko je krmilni kanal dvignjen in ko je konfiguriral vmesnik. Šele nato se dotakne usmerjevalne tabele, z mehanizmom, ki ga ponuja platforma. Linux gre skozi netlink; Windows uporablja API, ki zahteva povišan žeton. Skript ali odjemalec, ki doda poti takoj po branju konfiguracije, se lahko zažene, preden naprava TUN/TAP obstaja, in jedro dodajanje zavrne.

Ista tekma pojasnjuje, zakaj ročno vpisana pot deluje, samodejna pa ne: ko jo vpišete, je vmesnik že dvignjen.

route-delay obstaja prav za ta primer, route-up pa navaja skript, ki se izvede po konfiguraciji vmesnika in poti. Poti, ki so odvisne od naslova tunela, postavite v ta kavelj, ne v zgodnjo fazo.

Pravice: kdo sme spremeniti tabelo

Sprememba usmerjevalne tabele v Windowsu zahteva povišan žeton. GUI, ki ga zažene običajen uporabnik, lahko nastavi naslov vmesnika prek storitve in vseeno ne more dodati poti. Dnevnik nato pokaže napako v slogu dostop zavrnjen namesto manjkajočega potiskanja.

Zagon GUI kot skrbnik ali uporaba odjemalca, ki temelji na storitvi, spremeni ta izid. Načrtovana opravila, ki zažene odjemalca brez potrebnega žetona, ne.

Preden kar koli spremenite, preverite pod katerim računom odjemalec dejansko teče. Različica in način storitve določata, kateri vzroki so sploh mogoči, zato zapišite oboje ob izpisu poti.

Politika: potisnjene poti je mogoče namenoma zavreči

route-nopull prisili odjemalca, da prezre poti, ki jih strežnik potiska, vključno s potisnjeno privzeto potjo, medtem ko je naslov tunela še vedno sprejet. Potisnjene možnosti DNS in DHCP se zavržejo z isto direktivo. Tak odjemalec ni pokvarjen; pričakuje izrecne vrstice poti v lastni konfiguraciji.

route-noexec je drugačen nadzor: popolnoma ustavi odjemalca pri izvajanju sprememb poti. Topologija, ki je odjemalec ne more preslikati, lahko da podoben izid, pot pa se zabeleži kot zavrnjena, ne kot dodana. Preberite vrstico dnevnika, ki poroča o odločitvi, namesto da ugibate, kateri od treh vzrokov velja. Nato preverite dejanski profil, ker lahko uvoznik ali orodje za upravljanje doda možnosti, ki jih uporabnik nikoli ni uredil.

Profil, ki je v urejevalniku besedila videti čist, lahko med izvajanjem vseeno nosi dodano direktivo.

Primerjajte seznam potiskanja s tabelo

Po povezavi položite seznam potiskanja strežnika ob tabelo odjemalca. V Linuxu je to ip route show dev tun0; v Windowsu route print ali Get-NetRoute. Če pot manjka, najprej popravite namestitev. Če obstaja in promet ne deluje, preidite na politiko posredovanja in požarnega zidu.

Zapišite različico odjemalca, račun, pod katerim teče, in ali temelji na storitvi. Ta tri dejstva povedo naslednji osebi, kateri vzroki so bili izključeni.