Un Pi, dwy enghraifft OpenVPN: beth mae pob uned yn ei ddarllen

Cyfrwch y prosesau OpenVPN cyn i chi gyffwrdd â phroffil. Mae Pi sy’n derbyn defnyddwyr crwydrol ac sy’n deialu gwasanaeth i fyny’r afon hefyd yn rhedeg dau ddaemon, ac mae pob un yn darllen ffeil ffurfweddu a ddewisir gan yr enw enghraifft a deipiwyd gennych. Yna mae’r templedi wedi’u pecynnu yn rhoi i bob daemon ei gyfeiriadur gwaith ei hun, ei ffeil statws amser rhedeg ei hun a’i ddyfais tiwnel ei hun. Os cewch y rhaniad hwnnw’n anghywir, byddwch yn treulio noson yn newid gosodiad cywir y tu mewn i ffeil nad yw’r broses sy’n rhedeg byth yn ei hagor.

Mae pob enw enghraifft yn dewis ei ffeil ei hun

Yn y ffeiliau uned a gludir gydag OpenVPN 2.6, mae’r dadleuon cychwyn yn cario dalfan enghraifft sy’n cael ei lenwi o’r testun ar ôl yr arwydd @. Mae templed y gweinydd yn rhedeg o gyfeiriadur ffurfweddu’r gweinydd ac yn datrys ei ddadl yn erbyn %i.conf yno, tra bod templed y cleient yn gwneud yr un peth o gyfeiriadur y cleient. Felly mae [email protected] yn darllen admits.conf yng nghyfeiriadur y gweinydd a [email protected] yn darllen uplink.conf yng nghyfeiriadur y cleient, ac nid oes gan y naill enw na’r llall unrhyw ystyr yn y cyfeiriadur arall.

Cadarnhewch y mapio ar y peiriant yn lle tybio bod y pecyn wedi cadw’r rhagosodiadau i fyny’r afon. Mae croeso i atodiad dosbarthiad ddisodli’r cyfeiriadur gwaith neu’r ddadl ffurfweddu’n llwyr.

systemctl cat [email protected]
systemctl cat [email protected]

Darllenwch y llinell WorkingDirectory a’r ddadl ffurfweddu yn yr allbwn hwnnw, oherwydd yr uned a alluwyd yw’r unig beth sy’n penderfynu pa ffeil sy’n llwytho. Mae atodiad sy’n ychwanegu --config at ExecStart yn curo’r templed hyd yn oed pan fo llwybr y templed yn edrych yn gywir. Gofynnwch am lwybrau’r darn a’r atodiad pan fyddwch am wybod a oes troshaeniad lleol ar waith. Os yw’r ddau rôl yn datrys i un ffeil, mae gennych un broses sy’n ceisio bod yn weinydd ac yn gleient, ac mae’r opsiwn diweddarach yn y ffeil honno’n ennill yn dawel.

Mae cludiant lleol a llwyth a anfonir ymlaen yn taro bachau gwahanol

Mae cysylltiad amgryptiedig y gweinydd â phob defnyddiwr crwydrol yn cael ei greu ar y Pi ei hun, felly mae ei atebion allanol yn gadael trwy fach allbwn lleol. Mae cysylltiad y cleient â’i gymar i fyny’r afon hefyd yn allbwn a grëwyd yn lleol, er ei fod yn cyrraedd rhwydwaith pell. Mae llwyth a anfonir ymlaen yn drydedd gategori, ac nid yw’r cnewyllyn yn ei gyfateb nes iddo eisoes ddewis dyfais allan ar gyfer y pecyn.

Gall rheol sy’n cyfateb i ryngwyneb allan y tu mewn i gadwyn anfon ymlaen ganiatáu neu ollwng pecyn y mae llwybro eisoes wedi’i neilltuo i’r rhyngwyneb hwnnw, ond ni fydd byth yn dewis y rhyngwyneb. Pan fydd un gwesteiwr yn terfynu un tiwnel ac yn dechrau un arall, mae’r polisi sy’n anfon llwyth y defnyddiwr i’r tiwnel i fyny’r afon a’r polisi sy’n amddiffyn atebion amgryptiedig y Pi ei hun yn benderfyniadau ar wahân. Maent yn digwydd glanio ar yr un cerdyn rhwydwaith corfforol, a dyna pam y cânt eu drysu.

Mae’r gwahaniaeth hwnnw’n egluro hanner-methiant cyffredin. Mae defnyddwyr yn cysylltu, mae’r ysgwyd llaw yn cwblhau, ac mae eu traffig yn dal i adael y ffordd anghywir, oherwydd bod yr ysgwyd llaw yn lleol a’r llwyth yn un a anfonwyd ymlaen, a dim ond un o’r ddau a brofwyd erioed.

Gall llwybr a fewnforiwyd lyncu atebion i’ch defnyddwyr

Mae gosodiad diogelwch proffil y cleient yn penderfynu beth y caiff y pen uchaf ei wthio i dabl llwybro’r Pi, a’r ailgyfeiriad eang yw’r opsiwn sy’n troi gwesteiwr deuol-rôl sy’n gweithio yn un wedi torri. Os yw’r llwybr a wthiwyd yn cwmpasu cyfeiriadau cyhoeddus defnyddwyr crwydrol, gall yr atebion y mae’r gweinydd yn eu cynhyrchu tuag atynt ddilyn y llwybr newydd i mewn i’r tiwnel i fyny’r afon yn lle gadael trwy’r is-haen. Mae pobl yn aml yn cadarnhau bod y tiwnel i’r darparwr yn dal i weithio ac yn stopio yno, oherwydd mai cludiant y tiwnel ei hun yw’r traffig hwnnw ac mae’n parhau i lifo tra bod popeth arall yn camymddwyn.

Polisi yn seiliedig ar ffynhonnell neu farc yw’r ffordd y mae’r ddau ffrwd yn aros ar wahân. Mae opsiwn marc Linux OpenVPN yn stampio pecynnau amgryptiedig y daemon ei hun â marc wal dân, y gall rheol llwybro wedyn eu hanfon i dabl pwrpasol. Mae cyfeiriadau ffynhonnell yn gweithio yr un mor dda pan fo atebion allanol y gweinydd bob amser yn gadael o un cyfeiriad is-haen. Mae angen llwybrau dilys yn y tabl a ddewisir ar y naill ddull a’r llall, ynghyd ag eithriad ar gyfer pen draw’r darparwr, neu bydd y tiwnel ei hun yn peidio â chodi.

Gofynnwch i’r cnewyllyn pa lwybr y byddai ateb yn ei gymryd mewn gwirionedd cyn ysgrifennu unrhyw reol. Mae’r cyfeiriadau isod yn ddalfannau ar gyfer cyfeiriad is-haen Pi a chyfeiriad cyhoeddus un defnyddiwr crwydrol.

ip rule show
ip route get 198.51.100.7 from 192.0.2.10

Gwiriwch y rhaniad, yna stopiwch un rôl ar y tro

Profwch dri ffrwd ar wahân, oherwydd nid yw ysgwyd llaw sy’n gweithio’n profi dim am y ddau arall. Derbyniwch gysylltiad mewnol newydd, anfonwch un cymhwysiad a ganiateir trwy allanfa i fyny’r afon, a chadarnhewch fod y ddau broses yn dal i gyrraedd eu cymheiriaid eu hunain.

Yna stopiwch rôl y cleient a gwyliwch beth mae rôl y gweinydd yn ei gadw. Dyma’r ffordd rataf o ddod o hyd i reol llwybr neu farc a oedd wedi’i bwriadu ar gyfer un enghraifft ac a gymhwyswyd i’r ddwy.

systemctl stop [email protected]
systemctl status [email protected] --no-pager
ss -lunp | grep openvpn
journalctl -u [email protected] -n 20 --no-pager

Yr hyn yr ydych am ei weld yw’r gwrandäwr yn dal wedi’i rwymo, y ddyfais tiwnel yn dal yn bresennol, a’r cofnod yn rhydd o wallau newydd tra bod rôl y cleient i lawr. Os yw stopio’r cleient hefyd yn torri atebion y gweinydd i ddefnyddwyr presennol, mae’r ddwy rôl yn rhannu rhywbeth y dylid bod wedi’i gwmpasu i un ohonynt. Cofnodwch ba enghraifft, pa ffeil ffurfweddu a pha berchennog ffrwd y gwnaeth pob newid gyffwrdd, oherwydd fel arall bydd y person nesaf sy’n dadfygio’r gwesteiwr hwn yn ailadrodd yr un darganfyddiad o’r dechrau.