Шта bypass-dhcp заиста додаје плану рута OpenVPN-а

Профил са redirect-gateway def1 bypass-dhcp комбинује замену подразумеване IPv4 руте са једним уским изузетком. Људи прочитају последњу реч и очекују опште решење за мобилне везе, а затим проведу поподне у DHCP теорији коју заставица никада није подржавала. Сваки део ради једну ствар, а изузетак је много мањи од свог угледа.

Раздвојте заставице пре него што отказ који се јавља само у мобилној мрежи припишете додели адреса. Две половине тог низа немају ништа заједничко.

Две заставице, два неповезана посла

Са def1, клијент додаје две IPv4 полуподразумеване руте уместо да замени постојећу подразумевану руту. 0.0.0.0/1 покрива доњу половину адресног простора, а 128.0.0.0/1 горњу, па заједно стижу до сваке дестинације, док свака остаје конкретнија од 0.0.0.0/0. Оригинална подразумевана рута зато остаје у табели без победе у тим претрагама, што стари пролаз држи доступним за све што клијент експлицитно рутира. То такође оставља две преклапајуће подразумеване руте у табели, и зато испис рута може изгледати чудније него што профил наговештава.

bypass-dhcp је одвојен и уопште не дира подразумевану руту. Приручник за OpenVPN 2.6 га описује као додавање директне руте до DHCP сервера који није у локалној подмрежи, тако да саобраћај закупа излази изван тунела, и напомиње да је то понашање имплементирано на Windows клијентима и можда није доступно другде.

Разлог његовог постојања је механички. Када полуподразумеване руте преузму одлазни саобраћај, обнова DHCP закупа усмерена на сервер у физичкој мрежи била би рутирана у тунел ако нешто ту адресу не причврсти за стварни интерфејс. Заставица је причвршћује.

На шта се изузетак заиста односи

Илустративна табела после успешне везе показује облик: две полуподразумеване руте кроз тунел и једну руту до хоста DHCP сервера кроз физички пролаз. Читајте је као облик, а не као своје адресе.

0.0.0.0/1        via 10.8.0.1      dev tun0
128.0.0.0/1      via 10.8.0.1      dev tun0
192.168.1.1/32   via 192.168.1.254 dev wlan0

Тај трећи ред именује једну дестинацију. То није подешавање резолвера, није општа дозвола за локалну мрежу и није правило излаза на серверу. Телефон на мобилном оператеру можда нема DHCP сервер који клијент може тако да идентификује, и зато заставица тамо ништа не мења.

Проверите шта је клијент заиста инсталирао

Разликујте опцију записану у профилу, опцију коју нуди сервер и руту коју је власник везе заиста применио. Клијент који одбије неподржану заставицу може да задржи остатак конфигурације, па се тунел подигне, а изузетак једноставно изостане. Читајте сопствени дневник клијента и добијену таблицу рутирања уместо да претпоставите да је ред у датотеци ступио на снагу. Три од тога могу бити тачни истовремено, и само последње мења куда пакети заиста иду.

Држите руту до крајње тачке VPN-а истовремено употребљивом. Тај изузетак за крајњу тачку је другачији захтев од изузетка за DHCP, и без њега тунел може да захвати транспорт који га одржава.

За дестинацију апликације, испитајте ефективну претрагу у контексту у коме не успева. Конкретније локалне руте, рутирање по политици и искључења по апликацији мењају одговор, тако да присуство две полуподразумеване руте није попис сваког тока.

Остатак пута није у овој заставици

Серверу је и даље потребна дозвола да прослеђује интернет саобраћај клијента и излазно уређење које може да га врати. Ниједна рута на страни клијента не ствара недостајуће прослеђивање или превод извора на серверу, и ниједна заставица не замењује исправан повратни пут.

Превођење имена и IPv6 свако захтева сопствену политику. Замена IPv4 ни не усмерава резолвер ка серверу на страни тунела, ни не успоставља IPv6 покривеност, а клијент који преусмерава само v4 оставља пут v6 нетакнутим.

Упоредите један одобрен безопасан захтев на исправном и на неисправном путу приступа, држећи профил и дестинацију непромењеним. Забележите да ли је разлика у превођењу имена, успостављању тунела, избору руте или прослеђеном саобраћају, и сачувајте одговор уз профил. Управо тај запис спречава следећу особу да криви DHCP за проблем до кога он не може да стигне.