Linux VPN-də ünvan, marşrut, DNS və firewall kimə aiddir?

Eyni marşrut uğrunda mübarizə aparan iki skript Linux VPN probleminin adi formasıdır və bu, adətən marşrut xətası kimi qeydə alınır. Bir komponent tunel cihazını yaradır, digəri standart marşrut əlavə edir, üçüncüsü resolver konfiqurasiyasını yenidən yazır, dördüncüsü isə firewall qaydalarını yenidən yükləyir. Onlardan hər hansı biri digərinin işini ləğv edə bilər və qalib sadəcə olaraq sonuncu işləyən olur. Cavablandırılmalı olan sual hansı paketin quraşdırılacağı deyil, hansı komponentin hər bir vəziyyət parçası üçün səlahiyyətli olduğudur.

Bu xəritəni bir dəfə yazın və yenidən qoşulma uğursuzluqlarının çoxu sirr olmaqdan çıxır. Dörd obyekt vacibdir: cihaz və onun ünvanları, marşrutlar və siyasət qaydaları, DNS konfiqurasiyası və firewall.

Cihaz və onun ünvanları

Tunel cihazı ya profili bilən menecer tərəfindən, ya da kimsə tərəfindən əl ilə başladılmış demon tərəfindən yaradılır. Hər iki quruluş təkbaşına işləyir; onları qarışdırmaq işləmir. Əgər profili NetworkManager idarə edirsə, cihazı da o idarə etsin və idarə olunmayan OpenVPN-prosesini eyni tunel adı ilə başlatmayın.

Sessiya bitəndə cihazı kimin sildiyini qeyd edin. Sessiyasından uzun ömür sürən cihaz köhnə ünvanların və onların ardınca gələn qarışıqlığın ən çox rast gəlinən mənbəyidir.

Marşrutlar və siyasət qaydaları

Məhz marşrutlarda sahiblik münaqişələri görünən zərər verir. Qoşulma meneceri tunel üçün standart marşrut, uzaq şəbəkə üçün isə daha dəqiq marşrut quraşdırır; əl ilə yazılmış skript sonra fərqli metrika ilə öz standart marşrutunu əlavə edir və vaxtdan asılı olaraq səssizcə qazanır və ya uduzur. Hansı girişlərin qoşulmaya aid olduğunu, hansıların daimi siyasət olduğunu və hansı komponentin onları yenidən qoşulmadan sonra yenilədiyini müəyyənləşdirin. Sonra digər komponentləri həmin cədvəldən kənarda saxlayın.

Siyasət qaydaları da eyni aydınlığa layiqdir, çünki heç kimin doldurmadığı cədvələ işarə edən qayda ölü tunelə tam bənzəyən qara dəlik yaradır. Əgər qayda trafiki hansısa yerə məcbur etmək üçün varsa, onun seçdiyi cədvəl eyni sahib tərəfindən saxlanmalıdır.

DNS həmişə ayrı sahibdir

Resolver demonu öz kimliyi altında ayrı proses kimi işləyir, buna görə də tunelin marşrut qərarlarını təsadüfən miras almır. VPN DNS serverlərini ötürdükdə, nəsə bunu resolverin riayət etdiyi hər keçid üzrə konfiqurasiyaya çevirməlidir və sonra nəsə onu geri götürməlidir.

Buradakı mif profilə ad serveri yazmağın sorğuların hara getdiyini dəyişdiyidir. Bu, resolverə nə deyildiyini dəyişir, resolverin yuxarıda hansı soketdən istifadə etdiyini deyil. Fayla güvənmək əvəzinə sorğu və marşrut axtarışı ilə sınayın.

Firewall vəziyyəti və onu kim bərpa edir

Firewall qaydaları VPN hostunda ən çox üzərinə yazılan obyektdir. Menecer hər qoşulma üçün NAT və ya yönləndirmə qaydaları əlavə edə bilər, eyni zamanda yükləmə zamanı işləyən firewall xidməti saxlanmış qaydalar toplusunu yenidən yükləyir və onları silir. Siyasət üçün bir səlahiyyət seçin və digərini onun istehlakçısı edin, ya da yenidən yükləmənin davranışı səssizcə dəyişdiyini qəbul edin. Qoşulmaya aid istisnalar eyni sahibin yüklədiyi faylda olmalıdır, nasazlıq aradıqda yazılan iptables əmrində deyil.

Qaydalar yenidən qoşulmadan sonra qalmalıdırsa, bunu açıq deyin. Qalmamalıdırsa, bunu da deyin, çünki növbəti mühəndis daha rahat olan cavabı güman edəcək.

Həyat dövrü: yükləmə, yenidən qoşulma, sökmə

Bu üç məqamın hər birinə sahib təyin edin. Yükləmə zamanı ilkin şərtləri nəyin və hansı sıra ilə hazırladığını qərar verin. Yumşaq yenidən başlatmada cihazın qala biləcəyini, sessiya vəziyyətinin isə qalmaya biləcəyini unutmayın, buna görə yaradıcı deyil, yoxlayıcı işləməlidir. Sökmə zamanı yalnız bu qoşulmanın yaratdığını silin, çünki bütün marşrutları sıfırlamaq və ya bütün firewall-u təmizləmək bir tuneli istifadədən çıxarmaqla eyni şey deyil.

Müşahidə üçün ip monitor link address route nüvə dəyişikliklərini baş verdikcə göstərir, lakin niyyət deyil, hadisələr barədə məlumat verir: silinmiş marşrut onu hansı prosesin sildiyini demir. Bunu sahiblik xəritəsi ilə birləşdirin və çaşdırıcı dayanma qısa namizəd siyahısına çevrilir.

İstisnaların da qiyməti var. Münaqişədən qaçmaq üçün bütün cihaz sinfini idarə olunmayan kimi işarələmək bu vəziyyəti heç kimə vermir, bu isə düzəliş deyil, qərardır.