Twee OpenVPN-kliënte op een Linux-gasheer: wie besit die roete?

Albei profiele rapporteer dat hulle verbind is, en een van hulle dra stilweg verkeer wat vir die ander bedoel is. Twee kliënte op een gasheer is 'n ondersteunde reëling; twee kliënte sonder 'n eienaar vir elke voorvoegsel is nie. Die werk gaan minder daaroor om die tweede tonnel op te bring as om te besluit watter proses watter roete mag opeis. Werk dit in die volgorde hieronder deur, en die konfigurasie volg uit die antwoorde.

Begin deur te vra waarvoor die tweede tonnel is

Drie situasies lyk dieselfde op die statuslyn en vereis verskillende ontwerpe. 'n Bestemmingverdeling stuur een voorvoegsel deur die kantoorprofiel en 'n ander deur die laboratoriumprofiel, terwyl nie een 'n verstekroete opeis nie. 'n Verdeling per toepassing hou gewoonlik een volle tonnel en stuur spesifieke verkeer met beleidsreëls. Oorskakeling hou presies een tonnel op 'n slag op, wat beteken die tweede mag nie outomaties begin nie.

Skryf die geval neer voordat jy enige konfigurasielêer oopmaak, want daardie antwoord bepaal alles daarna.

Die algemeenste stukkende opstelling is twee volle tonnele wat albei 'n verstekroete gestoot het, waar die een wat laaste verbind het wen en die eerste bly voorgee. Daardie toestand lyk opsetlik vanaf die statuslyn en mors 'n dag uit die roetetabel. Om die geval eerste te benoem maak dit onmoontlik eerder as bloot onwaarskynlik.

Kyk na die poele voor die roetes

Twee bedieners kan maklik adresse uit een private reeks uitdeel, en wanneer hulle dit doen, eindig die kliënt met twee koppelvlakke binne 'n enkele voorvoegsel. Geen bestemming kan dan per adres aan 'n koppelvlak toegeskryf word nie, want albei lyk ewe korrek. Hernommer een poel eerder as om 'n reël te bedink om die gelykop te breek.

Kyk ook na die plaaslike netwerk, want 'n huis- of kantoor-LAN wat 'n tonnelreeks oorvleuel, skep dieselfde dubbelsinnigheid van die ander kant af. Vergelyk die adresse op die gasheer met albei bedienerkonfigurasies voordat jy die kliënt blameer. 'n Poelverandering op 'n laboratoriumbediener is 'n vyfminuut-regstelling, terwyl 'n beleidsroetering-omweg vir 'n oorvleuelende voorvoegsel 'n permanente belasting is op almal wat die konfigurasie later lees. Besluit watter van dié twee jy wil hê voordat jy kies waar om in te gryp.

Twee adresfamilies beteken twee rondtes van hierdie kontrole. IPv6-poele bots net so stil soos IPv4 s'n.

Gee elke profiel 'n eienaar

Een instansie per profiel, een konfigurasielêer per instansie, en een naam wat die paar identifiseer. Op Debian-styl verpakking kies die naam ná die byteken die lêer, en daarom kan twee profiele wat 'n instansienaam deel nooit albei werk nie. Bevestig die kartering uit die geïnstalleerde eenheid eerder as uit 'n handleiding.

systemctl cat [email protected]
ip -4 addr show

Besluit dan wie roetes installeer, wat 'n beleidsvraag is eerder as 'n sintaksvraag.

Wanneer die twee bedieners onversoenbare stelle stoot, voeg óf route-nopull by en lys slegs die voorvoegsels wat elke profiel nodig het, of laat een sy verstekroete hou en stuur die res per beleidsreël. Twee prosesse wat albei 'n verstekroete installeer, eindig met een enkele wenner en niemand kan sê hoekom nie. Sodra die twee tonnele verkeer vir verskillende bronne dra, kan 'n antwoord deur die verkeerde een uitgaan, en die patroon wat standhou is 'n verbindingsmerk wat op antwoorde herstel en in sy eie tabel gestuur word. Beperk die merke sodat die tonnele se eie versleutelde pakkette nooit daarby pas nie.

Verifieer per tonnel, stop dan een

Sodra albei op is, neem drie lesings: die adres op elke tonneltoestel, die roete na 'n gasheer wat agter elkeen woon, en die pad wat 'n bestemming buite albei sou neem. 'n Gewone roetelys hou op om die finale opsoek te beskryf sodra reëls in die spel is, so vra die kern wat dit werklik sou kies. Stop dan een instansie en kyk wat verdwyn. As die stop van die eerste die tweede steur, is iets steeds tussen hulle gedeel: 'n roete, 'n toestelnaam, of 'n vuurmuurreël wat niemand geskei het nie.

ip rule show
ip route get 203.0.113.9

Bring die gestopte profiel terug en herhaal dieselfde kontroles, want 'n tonnel wat een keer ná 'n herlaai werk en nooit weer nie, is 'n lewensiklusfout in 'n roeteringkostuum.

Teken in die ontplooiingsnotas aan watter profiel watter voorvoegsel besit, langs die poelreekse. Twee tonnele is 'n doelbewuste reëling, en die volgende leser het die grens sigbaar nodig voordat hy enige profiel aanraak. Sonder daardie nota word die grens herontdek deur wie ook al diens het wanneer die gedeelde voorvoegsel uiteindelik breek.