Un IP gwasanaeth ar bob nod OpenVPN: yr hyn nad yw’n ei wneud

Mae cleient yn cysylltu ag un o sawl OpenVPN gweinydd ac yna angen gwasanaeth bach sy’n rhedeg ar y nod hwnnw: tudalen statws, pwynt terfyn metrigau, asiant copi wrth gefn. Mae rhoi’r un cyfeiriad gwasanaeth preifat i bob nod yn gwneud cyfluniad y cleient yn union yr un fath waeth pa weinydd y glaniodd arno. Mae’r cyfleustra hwnnw’n real, ac mae’n hawdd ei orddarllen hefyd: mae’r cyfeiriad a rennir yn dweud wrthych pa nod y cyrhaeddoch, nid bod unrhyw beth yn ddiangen.

Pam mae’r un cyfeiriad ar bob nod yn gweithio

Mae pob nod yn berchen ar y cyfeiriad yn lleol ac yn ateb drosto, felly mae cleient sy’n ei gyrraedd drwy ei dwnnel presennol yn cael y gwasanaeth ar ben arall y twnnel hwnnw. Nid oes unrhyw beth yn cael ei gydgysylltu rhwng nodau, ac nid oes traffig yn croesi o un nod i’r llall.

Mae’r cyfeiriad yn label lleol, wedi’i ailadrodd yn hytrach na’i atgynhyrchu. Mae pob nod yn ateb drosto’i hun yn unig, ac nid oes yr un ohonynt yn anfon traffig ymlaen ar ran y cyfeiriad ar nod arall. Dyna sy’n cadw un cyfluniad cleient yn ddilys tra bod y gweinyddwyr yn aros yn annibynnol. Dyna hefyd pam nad oes angen unrhyw gydgysylltu rhwng y nodau ar y cynllun.

Dyna pam mae’r un cyfluniad yn gweithio ar bob gweinydd heb brotocol llwybro rhyngddynt. Dyna hefyd pam nad yw’r cynllun yn dweud dim am iechyd: mae’r cyfeiriad yn bodoli ar nod afiach yn union fel y mae ar un iach, oherwydd ei fod wedi’i rwymo i’r gwesteiwr yn hytrach nag i’r gwasanaeth fod yn ddefnyddiol.

Neilltuwch ef i loopback, nid i’r twnnel

Mae rhoi’r cyfeiriad ar ryngwyneb loopback yn ei ddatgysylltu o oes unrhyw ddyfais twnnel, felly nid yw ailgysylltu nac ail-lwytho cyfluniad yn ei dynnu. Mae’r cyfeiriad yn bodoli cyhyd ag y mae’r gwesteiwr yn bodoli.

Nid yw cyfeiriad ar lo yn hidlydd. Mae’r gwasanaeth yn dal i orfod gwrando arno, ac mae mur tân y gwesteiwr yn dal i werthuso’r llwybr sy’n dod i mewn go iawn, sy’n cyrraedd ar ryngwyneb y twnnel. Mae unrhyw un sy’n cymryd bod loopback yn golygu lleol yn unig yn gorffen naill ai’n blocio cleientiaid dilys neu’n datgelu rhywbeth nad oedd yn bwriadu.

Cadwch y neilltuad yn barhaus drwy gyfluniad rhwydwaith y gwesteiwr yn hytrach na’i ail-ychwanegu o fachyn. Ni fydd bachyn gosod yn tanio ar nod lle nad oes twnnel wedi codi, ac ni ddylai cyfeiriad y gwasanaeth ddibynnu ar weithgarwch twnnel. Rhowch y cyfeiriad yng nghyfluniad y rhyngwyneb sy’n eiddo i’ch dosbarthiad, yna ailgychwynnwch unwaith a’i wirio. Ailgychwyn yw’r unig brawf sy’n goroesi newid cyfluniad yn ddiweddarach.

ip address show dev lo | grep 10.250.0.1
ip address add 10.250.0.1/32 dev lo

Gwthiwch un llwybr a cholygwch un cyrchfan

Mae’r cleient angen llwybr gwesteiwr ar gyfer y cyfeiriad, a gynigir gan y gweinydd y mae’n cysylltu ag ef. Gan fod pob gweinydd yn cynnig yr un gyrchfan, nid yw’r proffil yn newid pan fydd y cleient yn symud.

Gwirwch yr hyn a osododd y cleient cyn beio’r gwasanaeth.

ip route get 10.250.0.1

Ar gyfer gwasanaeth HTTP, rhowch enw i’r cyfeiriad a thystysgrif ar gyfer yr enw hwnnw. Nid yw’r IP a rennir yn hunaniaeth, ac nid yw’n dileu dilysu TLS, nac yn cyfiawnhau copio un allwedd breifat i bob nod. Mae enw sy’n datrys i’r cyfeiriad a rennir yn cadw stori’r dystysgrif yn gyffredin ac yn gadael i chi gadw hunaniaeth fesul nod os oes ei angen arnoch.

Yr hyn na all y cyfeiriad a rennir ei wneud

Nid yw’n darparu failover. Os bydd y nod a ddewiswyd yn marw, mae’r cyfeiriad yn marw gydag ef, ac mae’n rhaid i’r cleient ailgysylltu yn rhywle arall ar ôl hynny.

Nid yw’n mudo sesiwn TCP fyw, oherwydd mae cysylltiad newydd yn gorffen mewn gwesteiwr gwahanol heb unrhyw wybodaeth am yr hen un.

Nid yw’n dewis nod iach, yn cydbwyso llwyth, nac yn cysoni data rhwng nodau. Mae pob un o’r rheini’n fecanwaith ar wahân gyda’i foddau methiant ei hun, a smalio bod y tric cyfeirio yn eu cynnwys yw sut mae cynllun syml yn cael enw da haeddiannol am wydnwch. Os oes dau dwnnel yn weithredol ar unwaith, mae ystyr y gyrchfan yn dod yn amwys, felly cadwch y dybiaeth un twnnel gweithredol yn eglur.

Cadwch hunaniaeth y gwasanaeth gyda’r enw

Ysgrifennwch beth mae’r cyfeiriad yn ei olygu: mae’n cyrraedd y gwasanaeth ar y nod y mae’r cleient wedi cysylltu ag ef ar hyn o bryd. Mae’r frawddeg unigol honno’n atal y rhan fwyaf o’r camddealltwriaeth y mae’r patrwm hwn yn ei ddenu.

Yna dogfennwch y darnau gyda’i gilydd: y cyfeiriad, y rhyngwyneb y mae’n byw arno, y llwybr y mae’r gweinydd yn ei wthio, a’r enw a’r dystysgrif y mae’r gwasanaeth yn eu cyflwyno. Pedwar ffaith fach y gall darllenydd yn y dyfodol eu gwirio, yn y drefn y bydd yn eu harchwilio.

Os mai’r gofyniad yw cyrchfan sefydlog ar gyfer gwasanaeth lleol i nod, mae’r patrwm yn addas ac yn costio bron ddim.

Os mai’r gofyniad yw argaeledd, symudwch i fyny un haen: cydbwysydd llwyth, enw gwasanaeth gyda gwiriadau iechyd, neu system gydlynnu sy’n gwybod yn barod sut i ddisodli nod.

Mae penderfynu hynny’n gynnar yn cadw’r cyfeiriad a rennir yn yr hyn ydyw, label cyfleus, yn lle cydran y disgwylir yn dawel iddi wneud gwaith na chafodd ei chynllunio ar ei gyfer.