عميلا OpenVPN على مضيف Linux واحد: من يملك المسار؟
يمكن لعميلين أن يتشاركا مضيفًا واحدًا إذا كان لكل بادئة مالك. اتبع الغرض، ثم التجمعات، ثم تسمية النسخة، ثم اختبار إيقاف لكل نفق، بهذا الترتيب.
يُبلّغ كلا الملفين الشخصيين بأنهما متصلان، وأحدهما يحمل بهدوء حركة مرور مقصودة للآخر. وجود عميلين على مضيف واحد ترتيب مدعوم؛ أما وجود عميلين بلا مالك لكل بادئة فليس كذلك. العمل هنا أقلّ ارتباطًا بإحضار النفق الثاني وأكثر ارتباطًا بتحديد أي عملية يجوز لها المطالبة بأي مسار. سِر على هذا الترتيب أدناه، وستتبع الإعدادات من الأجوبة.
ابدأ بسؤال الغرض من النفق الثاني
ثلاث حالات تبدو متطابقة على سطر الحالة وتحتاج تصاميم مختلفة. تقسيم الوجهات يرسل بادئة عبر ملف المكتب وأخرى عبر ملف المختبر، دون أن يطالب أيّ منهما بمسار افتراضي. تقسيم كل تطبيق على حدة يُبقي عادةً نفقًا كاملًا واحدًا ويوجّه حركة بعينها بقواعد سياسة. التبديل الاحتياطي يُبقي نفقًا واحدًا بالضبط في وضع التشغيل في كل مرة، ما يعني أن الثاني يجب ألا يبدأ تلقائيًا.
اكتب الحالة قبل فتح أي ملف إعدادات، لأن ذلك الجواب يحدد كل ما يأتي بعده.
الإعداد المعطوب الأكثر شيوعًا هو نفقان كاملان دفع كلاهما مسارًا افتراضيًا، حيث يفوز من اتصل آخرًا ويظل الأول يتظاهر. تبدو تلك الحالة مقصودة من سطر الحالة وتُهدر يومًا من جدول التوجيه. تسمية الحالة أولًا تجعلها مستحيلة لا مجرد غير مرجحة.
انظر إلى التجمعات قبل المسارات
يمكن لخادمين بسهولة توزيع عناوين من نطاق خاص واحد، وحين يفعلان ذلك ينتهي العميل بواجهتين داخل بادئة واحدة. عندئذ لا يمكن نسب أي وجهة إلى واجهة بحسب العنوان، لأن كلتيهما تبدوان صحيحتين بالقدر نفسه. أعد ترقيم أحد التجمعين بدلًا من اختراع قاعدة لكسر التعادل.
افحص الشبكة المحلية أيضًا، لأن شبكة منزلية أو مكتبية تتقاطع مع نطاق نفق تخلق الغموض نفسه من الجهة الأخرى. قارن العناوين على المضيف مع إعدادي الخادمين قبل إلقاء اللوم على العميل. تغيير التجمع على خادم مختبر إصلاح يستغرق خمس دقائق، بينما حلّ توجيه السياسة لبادئة متقاطعة ضريبة دائمة على كل من يقرأ الإعدادات لاحقًا. قرر أيّهما تريد قبل أن تختار أين تتدخل.
عائلتا عناوين تعنيان جولتين من هذا الفحص. تجمعات IPv6 تتصادم بهدوء مثل تجمعات IPv4.
أعطِ كل ملف شخصي مالكًا
نسخة واحدة لكل ملف شخصي، وملف إعدادات واحد لكل نسخة، واسم واحد يعرّف الزوج. في التغليف على نمط Debian، الاسم الذي يلي علامة @ هو الذي يختار الملف، ولهذا لا يمكن لملفين شخصيين يتشاركان اسم نسخة أن يعملا معًا أبدًا. تحقق من التعيين انطلاقًا من الوحدة المثبتة لا من درس تعليمي.
systemctl cat [email protected]
ip -4 addr showثم قرر من يثبّت المسارات، وهي مسألة سياسة لا مسألة صياغة.
حين يدفع الخادمان مجموعتين غير متوافقتين، فإما أن تضيف route-nopull وتسرد فقط البادئات التي يحتاجها كل ملف شخصي، أو تدع أحدًا يحتفظ بمساره الافتراضي و يوجّه الباقي بقاعدة سياسة. عمليتان تثبّتان معًا مسارًا افتراضيًا تنتهيان بفائز واحد ولا أحد يستطيع قول السبب. حالما يحمل النفقان حركة لمصادر مختلفة، قد يخرج الرد عبر النفق الخطأ، والنمط الذي يصمد هو علامة اتصال تُستعاد على الردود وتُوجّه إلى جدولها الخاص. ضيّق نطاق العلامات كي لا تطابقها حزم النفقين المشفرة نفسها أبدًا.
تحقق لكل نفق، ثم أوقف واحدًا
حالما يعمل الاثنان، خذ ثلاث قراءات: العنوان على كل جهاز نفق، والمسار إلى مضيف يعيش خلف كل منهما، والطريق الذي ستسلكه وجهة خارج كليهما. تتوقف قائمة المسارات العادية عن وصف البحث النهائي بمجرد دخول القواعد في اللعب، فاسأل النواة عمّا ستختاره فعلًا. ثم أوقف نسخة واحدة وراقب ما يختفي. إذا أزعج إيقاف الأول الثاني، فثمة شيء ما يزال مشتركًا بينهما: مسار، أو اسم جهاز، أو قاعدة جدار حماية لم يفصلها أحد.
ip rule show
ip route get 203.0.113.9أعد الملف الشخصي الموقوف وشغّل الفحوص نفسها، لأن نفقًا يعمل مرة بعد إعادة تشغيل ثم لا يعمل أبدًا بعدها هو خلل في دورة الحياة يرتدي زيّ التوجيه.
سجّل في ملاحظات النشر أي ملف شخصي يملك أي بادئة، إلى جانب نطاقات التجمعات. النفقان ترتيب متعمد، والقارئ التالي يحتاج إلى رؤية الحدود قبل أن يلمس أي ملف شخصي. بدون تلك الملاحظة، يُعاد اكتشاف الحدود على يد من يكون في الخدمة حين تنكسر البادئة المشتركة أخيرًا.