Bir Linux hostunda iki OpenVPN klienti: marşrutun sahibi kimdir?

Hər iki profil qoşulduğunu bildirir və onlardan biri səssizcə digəri üçün nəzərdə tutulmuş trafiki daşıyır. Bir hostda iki klient dəstəklənən bir quruluşdur; hər prefiks üçün sahibi olmayan iki klient isə deyil. İş ikinci tuneli qaldırmaqdan çox, hansı prosesin hansı marşruta iddia edə biləcəyini qərar verməkdən ibarətdir. Aşağıdakı ardıcıllıqla keçin və konfiqurasiya cavablardan doğacaq.

İkinci tunelin nə üçün olduğunu soruşmaqla başlayın

Üç vəziyyət status sətirində eyni görünür və fərqli dizaynlar tələb edir. Təyinat bölgüsü bir prefiksi ofis profili, digərini laboratoriya profili vasitəsilə göndərir və heç biri defolt marşrut iddia etmir. Tətbiq üzrə bölgü adətən bir tam tuneli saxlayır və xüsusi trafiki siyasət qaydaları ilə yönləndirir. Ehtiyat rejim eyni anda dəqiq bir tuneli işlək saxlayır, yəni ikinci avtomatik başlamamalıdır.

Hər hansı konfiqurasiya faylını açmazdan əvvəl vəziyyəti yazın, çünki bu cavab ondan sonrakı hər şeyi müəyyən edir.

Ən çox rast gəlinən pozulmuş quruluş hər ikisi defolt marşrut göndərmiş iki tam tuneldir; burada sonuncu qoşulan qalib gəlir, birincisi isə özünü elə göstərməyə davam edir. Bu vəziyyət status sətirindən qəsdən belə görünür və marşrut cədvəlindən bir gün oğurlayır. Vəziyyəti əvvəlcə adlandırmaq onu sadəcə qeyri-ehtimal deyil, qeyri-mümkün edir.

Marşrutlardan əvvəl hovuzlara baxın

İki server asanlıqla bir özəl diapazondan ünvanlar paylaya bilər və bunu etdikdə klient tək prefiks daxilində iki interfeyslə qalır. Onda heç bir təyinatı ünvana görə interfeysə aid etmək mümkün deyil, çünki hər ikisi eyni dərəcədə düzgün görünür. Bərabərliyi pozmaq üçün qayda uydurmaq əvəzinə hovuzlardan birini yenidən nömrələyin.

Yerli şəbəkəni də yoxlayın, çünki tunel diapazonu ilə üst-üstə düşən ev və ya ofis LAN-ı digər tərəfdən eyni qeyri-müəyyənliyi yaradır. Klienti günahlandırmazdan əvvəl hostdakı ünvanları hər iki server konfiqurasiyası ilə müqayisə edin. Laboratoriya serverində hovuz dəyişikliyi beş dəqiqəlik düzəlişdir, üst-üstə düşən prefiks üçün siyasət-marşrutlaşdırma həlli isə konfiqurasiyanı sonradan oxuyan hər kəs üçün daimi vergidir. Harada müdaxilə edəcəyinizi seçməzdən əvvəl bunlardan hansını istədiyinizə qərar verin.

İki ünvan ailəsi bu yoxlamanın iki raundu deməkdir. IPv6 hovuzları IPv4 hovuzları qədər səssizcə toqquşur.

Hər profilə bir sahib verin

Hər profil üçün bir nüsxə, hər nüsxə üçün bir konfiqurasiya faylı və cütü tanıdan bir ad. Debian üslublu paketləmədə @ işarəsindən sonrakı ad faylı seçir, buna görə də eyni nüsxə adını paylaşan iki profil heç vaxt birlikdə işləyə bilməz. Uyğunluğu dərslikdən deyil, quraşdırılmış vahiddən təsdiqləyin.

systemctl cat [email protected]
ip -4 addr show

Sonra marşrutları kimin quraşdırdığına qərar verin; bu, sintaksis deyil, siyasət məsələsidir.

İki server uyğunsuz dəstlər göndərdikdə ya route-nopull əlavə edin və yalnız hər profilin ehtiyac duyduğu prefiksləri sadalayın, ya da birinin defolt marşrutunu saxlamasına icazə verin və qalanını siyasət qaydası ilə yönləndirin. Hər ikisi defolt marşrut quraşdıran iki proses tək qaliblə bitir və heç kim səbəbini deyə bilmir. İki tunel fərqli mənbələr üçün trafik daşımağa başladıqda cavab yanlış tuneldən çıxa bilər və davamlı nümunə cavablarda bərpa olunan və öz cədvəlinə yönləndirilən əlaqə işarəsidir. İşarələri elə məhdudlaşdırın ki, tunellərin öz şifrələnmiş paketləri onlara heç vaxt uyğun gəlməsin.

Hər tunel üzrə yoxlayın, sonra birini dayandırın

Hər ikisi qalxdıqdan sonra üç göstərici götürün: hər tunel cihazındakı ünvan, hər birinin arxasında yaşayan hosta marşrut və hər ikisinin xaricindəki təyinatın tutacağı yol. Adi marşrut siyahısı qaydalar işə düşən kimi son axtarışı təsvir etməyi dayandırır, ona görə də kerneldən həqiqətən nəyi seçəcəyini soruşun. Sonra bir nüsxəni dayandırın və nəyin yox olduğunu izləyin. Birincinin dayandırılması ikincini narahat edirsə, onlar arasında hələ də paylaşılan bir şey var: marşrut, cihaz adı və ya heç kimin ayırmadığı firewall qaydası.

ip rule show
ip route get 203.0.113.9

Dayandırılmış profili geri qaytarın və eyni yoxlamaları təkrarlayın, çünki yenidən başlatmadan sonra bir dəfə işləyib bir daha işləməyən tunel marşrutlaşdırma kostyumu geyinmiş həyat dövrü xətasıdır.

Hansı profilin hansı prefiksə sahib olduğunu yerləşdirmə qeydlərində, hovuz diapazonlarının yanında yazın. İki tunel qəsdən qurulmuş bir nizamdır və növbəti oxucu hər iki profilə toxunmazdan əvvəl sərhədi görə bilməlidir. Bu qeyd olmadan sərhəd, paylaşılan prefiks nəhayət pozulanda növbədə olan şəxs tərəfindən yenidən kəşf edilir.