Pwy sy’n berchen ar y cyfeiriad, y llwybr, DNS a’r wal dân ar VPN Linux?

Mae dau sgript yn ymladd dros yr un llwybr yn ffurf arferol problem VPN Linux sy’n cael ei chofnodi fel byg llwybro. Mae un gydran yn creu dyfais y tiwnel, mae un arall yn ychwanegu llwybr diofyn, mae trydydd yn ailysgrifennu ffurfweddiad y datryswr, ac mae pedwerydd yn ailgychwyn rheolau’r wal dân. Gall unrhyw un ohonynt ddad-wneud gwaith un arall, a’r enillydd yw pwy bynnag a redodd olaf. Y cwestiwn sy’n werth ei ateb nid yw pa becyn i’w osod ond pa gydran sydd ag awdurdod dros bob darn o gyflwr.

Ysgrifennwch y map hwnnw unwaith, ac mae’r rhan fwyaf o fethiannau ailgysylltu yn peidio â bod yn ddirgelwch. Mae pedwar gwrthrych yn bwysig: y ddyfais a’i chyfeiriadau, y llwybrau a rheolau polisi, y ffurfweddiad DNS a’r wal dân.

Y ddyfais a’i chyfeiriadau

Mae dyfais tiwnel yn cael ei chreu naill ai gan reolwr sy’n gwybod y proffil neu gan ddaemon a gychwynnwyd â llaw. Mae’r ddau drefniant yn gweithio ar eu pen eu hunain; mae’u cymysgu yn methu. Os NetworkManager sy’n berchen ar y proffil, gadewch iddo fod yn berchen ar y ddyfais hefyd, ac na chychwynnwch OpenVPN heb ei reoli yn erbyn yr un enw tiwnel.

Cofnodwch pwy sy’n tynnu’r ddyfais pan ddaw’r sesiwn i ben. Y ddyfais sy’n goroesi ei sesiwn yw’r ffynhonnell fwyaf cyffredin o gyfeiriadau darfodedig ac o’r dryswch sy’n dilyn.

Llwybrau a rheolau polisi

Y llwybrau yw lle mae gwrthdaro perchnogaeth yn gwneud difrod gweladwy. Mae rheolwr cysylltiad yn gosod llwybr diofyn ar gyfer y tiwnel ynghyd â llwybr mwy penodol ar gyfer y rhwydwaith anghysbell; yna mae sgript a ysgrifennwyd â llaw yn ychwanegu ei llwybr diofyn ei hun gyda metrig gwahanol ac yn ennill neu’n colli’n dawel yn dibynnu ar amseru. Penderfynwch pa gofnodion sy’n perthyn i’r cysylltiad, pa rai sy’n bolisi parhaol, a pha gydran sy’n eu hadnewyddu ar ôl ailgysylltu. Yna cadwch y cydrannau eraill allan o’r tabl hwnnw.

Mae rheolau polisi yn haeddu’r un eglurder, oherwydd mae rheol sy’n pwyntio at dabl nad oes neb yn ei lenwi yn cynhyrchu twll du sy’n edrych yn union fel tiwnel marw. Os yw rheol yn bodoli i orfodi traffig rhywle, rhaid i’r un perchennog gynnal y tabl y mae’n ei ddewis.

Mae DNS bob amser yn berchennog ar wahân

Mae daemon datryswr yn rhedeg fel ei broses ei hun o dan ei hunaniaeth ei hun, felly nid yw’n etifeddu penderfyniadau llwybro’r tiwnel ar ddamwain. Pan fydd y VPN yn gwthio gweinyddwyr DNS, rhaid i rywbeth gyfieithu hynny’n ffurfweddiad fesul cyswllt y mae’r datryswr yn ei barchu, a rhaid i rywbeth ei dynnu i ffwrdd wedyn.

Y myth yma yw bod ysgrifennu gweinydd enwau yn y proffil yn newid i ble mae ymholiadau’n mynd. Mae’n newid beth ddywedir wrth y datryswr, nid pa soced y mae’r datryswr yn ei ddefnyddio i fyny’r afon. Profwch ag ymholiad ynghyd â chwilfa llwybr yn lle ymddiried yn y ffeil.

Cyflwr y wal dân, a phwy sy’n ei adfer

Rheolau’r wal dân yw’r gwrthrych a olygir amlaf ar hosb VPN. Gall rheolwr ychwanegu rheolau NAT neu anfon ymlaen fesul cysylltiad, tra bod gwasanaeth wal dân adeg cychwyn yn ail-lwytho set rheolau a gadwyd ac yn eu dileu. Dewiswch un awdurdod ar gyfer polisi a gwnewch y llall yn ddefnyddiwr ohono, neu derbyniwch fod ailgychwyn yn newid ymddygiad yn dawel. Mae eithriadau sy’n perthyn i’r cysylltiad yn perthyn mewn ffeil y mae’r un perchennog yn ei llwytho, nid mewn gorchymyn iptables a deipiwyd wrth ddatrys problemau.

Os oes rhaid i reolau oroesi ailgysylltu, dywedwch hynny’n benodol. Os nad oes rhaid, dywedwch hynny hefyd, oherwydd bydd y peiriannydd nesaf yn tybio’r ateb mwy cyfleus.

Cylch bywyd: cychwyn, ailgysylltu, dad-wneud

Rhowch berchnog i bob un o’r tri munud hynny. Wrth gychwyn, penderfynwch beth sy’n paratoi rhagofynion a pha drefn. Wrth ailddechrau meddal, cofiwch y gall y ddyfais oroesi tra nad yw cyflwr y sesiwn, felly rhaid i ddilysydd redeg yn lle crëwr. Wrth ddad-wneud, tynnwch yn unig yr hyn a grëwyd gan y cysylltiad hwn, oherwydd nid yw ailosod pob llwybr na fflysio’r wal dân gyfan yr un peth â chodi un tiwnel o’r gwasanaeth.

Ar gyfer arsylwi, mae ip monitor link address route yn dangos newidiadau’r cnewyllyn wrth iddynt ddigwydd, ond mae’n adrodd digwyddiadau yn hytrach na bwriad: nid yw llwybr a ddilewyd yn dweud dim am ba broses a’i dileodd. Parwch ef â’r map perchnogaeth, a bydd cau dryslyd yn troi’n rhestr fer o ymgeiswyr.

Mae cost i eithriadau hefyd. Mae marcio dosbarth cyfan o ddyfeisiau fel rhai heb eu rheoli i ddianc rhag gwrthdaro yn rhoi’r cyflwr hwnnw i neb, sy’n benderfyniad yn hytrach na thrws.