Bir hostda OpenVPN serveri və klienti: klientlər niyə düşür

Artıq VPN serveri işləyən maşına klient profili əlavə etsəniz, ilk itki köhnə xidmət olacaq. Yeni tunel heç qurulmaya bilər, ya da qurulub serverin mövcud klientləri cavab almağı sakitcə dayandıra bilər. İki toqquşma hər iki nəticəni doğurur: artıq istifadədə olan tunel hovuzu və yeni klient yarısının quraşdırdığı, bütün cədvəli əhatə edən standart marşrut. Heç biri OpenVPN xəta mesajı vermir, buna görə də nasazlıq server problemi kimi oxunur.

Bir maşın, iki rol və cavabların hara gedəcəyinə dair iki uyğunsuz cavab.

Eyni hovuz, iki server: hansı qalır

Hər server nüsxəsinin öz tunel alt şəbəkəsi olmalıdır. server 10.8.0.0 255.255.255.0 kimi bir sətri ikinci konfiqurasiyaya köçürmək iki nüsxəyə eyni prefiksi verir və nəticə ya başlamaqdan imtina, ya da bir serverin klientlərinin digərinin də özününkü saydığı ünvanlar alması ilə bitən sakit yarış olur. Fərqli UDP portları və fərqli cihaz adları kömək etmir, çünki heç biri ünvan fəzasına toxunmur. İkinci hovuzu dəyişin və marşrutların onu xatırlatdığı hər yerdə dəyişin.

Redaktədən əvvəl nəyin canlı olduğunu sadalayın: ip -4 addr show tunel cihazlarını sadalayır, ss -lunp dinləyiciləri sadalayır, systemctl list-units isə vahidləri adlandırır. Tunel ünvanlarına bir baxış hovuzların toqquşub-toqquşmadığını həll edir.

Klient profili cədvələ nə əlavə edir

Klient yarısı qoşulan kimi marşrutları yazır. redirect-gateway def1 standart marşrutu 0.0.0.0/1 üstəgəl 128.0.0.0/1-ə bölür, hər ikisi yeni cihazdan yönləndirilir, üstəlik uzaq serverə gedən və qəsdən fiziki interfeysə bərkidilmiş host marşrutu da əlavə olunur. Bu bərkitmə tunelin öz nəqliyyatı üçün yol saxlaması üçün mövcuddur. Qalan hər şey, o cümlədən yerli serverin öz klientlərinə borclu olduğu cavablar, artıq yeni standartı izləyir və uzaq keçidlə çıxır.

Deməli, ikinci toqquşma sınıq tunel deyil. O, cədvəldə səhv yerdə duran işlək tuneldir.

Rolları ayrı saxlamağın üç yolu

Ən az müdaxiləli düzəliş standart marşrutu klient profilindən kənarda saxlayır: route-nopull üstəgəl uzaq prefikslər üçün açıq route sətirləri, beləliklə yerli cədvəl yalnız istədiyiniz yerdə dəyişir. Növbəti addım yerli tunel alt şəbəkəsini azad edən siyasət qaydasıdır; bu, standart marşrut mövcud olsa da, yerli klientlərə cavabların gəldikləri interfeysdən çıxmasına imkan verir. Ən əsaslısı klient rolu üçün ayrı şəbəkə adlar fəzasıdır; bu, ortaq cədvəli tamamilə aradan qaldırır və saxlamaq üçün ikinci yönləndirmə konteksti tələb edir.

Hansı yolu seçsəniz də, istisna LAN-ı deyil, yerli tunel alt şəbəkəsini adlandırmalıdır. Yerli serverin göndərdiyi cavabın təyinatı tunel ünvanıdır, ona görə də LAN formalı istisna heç vaxt ona uyğun gəlmir.

İki nüsxədən hansı günahkardır

Klient nüsxəsini dayandırın və köhnə klientləri yenidən yoxlayın. Dərhal bərpa yönləndirmə deməkdir, server deyil. Klienti qaytarın və həm mənbə, həm də təyinat ünvanı verilmiş ip route get ilə tək bir cavabı izləyin; bu, nüvənin seçəcəyi yolu göstərir, sonra paketlərin həqiqətən istifadə etdiyi interfeysi tcpdump -ni any port 1194 ilə izləyin. Serverin hər neçə saniyədə bir status direktivi ilə yazılan status faylı qoşulmuş klient siyahısını və hər iki istiqamət üçün bayt sayğaclarını daşıyır.

Bu sayğacları bir-birinə qarşı oxuyun. Çıxıb heç vaxt qayıtmayan trafik əl sıxma problemi deyil, yönləndirmə cavabıdır.