OpenVPN'de rota nereye ait: istemciye mi sunucuya mı?
Sunucu yapılandırmasındaki çıplak rota sunucuyu değiştirir, istemciyi değil. İstemci dosyasını, genel bir push'u veya tek bir istemciye push'u seçin ve neyin ulaştığını kontrol edin.
Sunucu yapılandırmasına route 10.60.0.0 255.255.255.0 ekliyorsunuz, yeniden başlatıyorsunuz, bir dizüstü bilgisayarı yeniden bağlıyorsunuz ve alt ağ hâlâ o dizüstü bilgisayardan erişilemiyor. Satır kabul edildi, hizmet temiz başladı ve günlükte hiçbir şey yanlış görünmüyor. Olan şu: rota, düzenlediğiniz makineye kuruldu: ağ geçidi artık o öneke ulaşabildiğine inanıyor, oysa istemciye hiçbir şey söylenmedi. Yerleşim bütün soru ve aynı satırın yaşayabileceği dört yer var.
Dört yer ve her birini kim alır
Bir rota istemcinin kendi yapılandırmasıyla eklenebilir, genel bir push ile her istemciye sunulabilir, istemciye özel bir dosyayla tek bir istemciye sunulabilir veya sunucunun kendi yönlendirme bağlamına yazılabilir.
Bu dört durum neredeyse aynı sözdizimini kullanır ve tamamen farklı sonuçlar verir. İlk üçü istemcinin tünele ne gönderdiğini etkiler; dördüncüsü sunucunun bir ağa nasıl ulaştığını etkiler, bu sunucunun kendisi bir yola ihtiyaç duyduğunda yararlı, dağıtımla karıştırıldığında ise zararlıdır.
Satırı yazmadan önce dördünden hangisini istediğinize karar verin, sonra alıcıyı doğrulayın.
| Placement | Effect | Receiver |
|---|---|---|
| Client profile route | Installed by the client at connect | That client only |
Global push "route ..." | Sent to every client that accepts pushed options | All pulling clients |
| Client-specific push | Sent to the matching client context | One identity |
| Server config route, no push | Added to the server's own table | The gateway itself |
Çıplak sunucu rotası insanları neden şaşırtır
Sunucu yapılandırması yöneticilerin ilk baktığı yerdir ve oradaki rota yönergesi VPN ağı hakkında bir beyan gibi okunur. Değildir. OpenVPN bunu daemonun çalıştığı makinede yerel bir rota kurulumu olarak ele alır; bu, ip route ile yapıp sonra unutacağınız değişikliğin tam olarak aynı türüdür.
Dağıtım rotanın push edilmesini gerektirir, push ise istemcinin onu çekmesini gerektirir. Çekilen seçenekleri devre dışı bırakarak başlatılan bir istemci teklifi tamamen yok sayar. Sunucu dosyasını yeniden yazmadan önce bu el sıkışmanın iki ucunu da kontrol edin, çünkü sunucu günlüğü şikâyet etmeyecek: kendi tarafından teklif gönderildi. Kabul edilen bir rota da yalnızca bir sonraki bağlantıda yürürlüğe girer, asla hâlihazırda bulunduğunuz oturumda değil.
İkisini ayrı işlemler olarak gördüğünüzde, arıza gizemli olmaktan çıkar: sunucu öneke ulaşır, istemci ulaşamaz ve her iki ifade aynı anda doğrudur.
İstemciye özel dosyalar ve eşleştikleri kimlik
İstemciye özel dosya, sunucunun kimlik doğruladığı kimliğe göre adlandırılır; bu varsayılan olarak sertifikanın ortak adıdır. Masaüstü istemcisindeki dostça bağlantı adı bu değer değildir ve uyuşmazlık hiç okunmayan bir dosya üretir.
Sunucunun gerçekte kullandığı dizini kontrol edin, sonra dosya adının kimliği doğrulanmış kimlikle tam olarak eşleştiğini doğrulayın, büyük ve küçük harfler dahil.
grep -n 'client-config-dir' /etc/openvpn/server/server.conf
ls -l /etc/openvpn/ccd/O dosyanın içinde rota yine push edilmelidir, çünkü istemci başına bağlam o istemcinin oturumuna uygulanan seçenekler kümesidir, yerel bir yönlendirme tablosu değildir. Oradaki çıplak rota, genel dosyadaki çıplak rota ile aynı soruna sahiptir.
İstemcinin kendi dosyası ve onu yöneten araç
İstemcinin yapılandırmasına yerleştirilen bir rota, o istemci bağlandığında kurulur ve bağlantı kesildiğinde kaldırılır; bu, statik bir hedef için doğru yaşam döngüsüdür.
Profili bir ağ yöneticisi yönetiyorsa, bu seçenekleri bir kez içe aktarıp sonra kendi kopyasını tutabilir. İndirilen dosyayı sonradan düzenlemek hiçbir şeyi değiştirmez; bu, "rota var ama uygulanmıyor" ifadesinin yaygın bir nedenidir.
İndirdiğiniz dosya yerine etkin profili kontrol edin ve yöneticinin gösterdiği içe aktarılmış ayarları kontrol edin. Sonra bağlanıp belirli bir adresin hangi yolu kullandığını sisteme sorun; rota bir metin dosyasında olduğu için tünelin kazandığını varsaymak yerine.
İstemcide doğrulayın, sonra dönüş yolunu kontrol edin
Hedefi istemcinin kendi yönlendirme tablosuna sorun, sunucununkine değil. Önek içindeki tek bir ana bilgisayar için arama, kullanılacak arayüzü ve sonraki atlamayı göstermeye yeter.
ip route get 10.60.0.10Arama tüneli işaret ediyorsa dağıtım çalıştı ve kalan sorun başka bir yerde. Varsayılan ağ geçidini işaret ediyorsa rota kurulmadı, istemci tarafındaki bir seçenek tarafından filtrelendi veya istemcinin kullanmadığı bir profile ait.
Dağıtımın çalıştığını ve yine de hiçbir şeyin yanıt vermediğini varsayın: o zaman ağ geçidinde yönlendirmeyi, karşı tarafın dönüş rotasını ve aralarındaki herhangi bir güvenlik duvarını kontrol edin. Rota bir yol seçer, erişim vermez.