Gweinydd a chleient OpenVPN ar un gwesteiwr: pam mae cleientiaid yn diflannu

Ychwanegwch broffil cleient at beiriant sydd eisoes yn rhedeg gweinydd VPN, a'r gwasanaeth gwreiddiol fydd y dioddefwr cyntaf. Efallai na fydd y twndel newydd yn sefydlu o gwbl, neu fe ddaw i fyny tra bo cleientiaid presennol y gweinydd yn distewi ac yn peidio â chael atebion. Mae dwy wrthdrawiad yn cynhyrchu'r ddau ganlyniad: cronfa dwndel sydd eisoes yn cael ei defnyddio, a llwybr diofyn a osodir gan hanner cleient newydd sy'n gorchuddio'r tabl cyfan. Nid yw'r naill na'r llall yn cynhyrchu neges wall OpenVPN, a dyna pam y darllenir y methiant fel problem gweinydd.

Un peiriant, dwy rôl, a dau ateb anghydnaws ynglŷn â ble y dylai atebion fynd.

Yr un gronfa, dau weinydd: pwy sy'n ennill

Mae angen is-rwydwaith twndel ei hun ar bob achos o weinydd. Mae copïo llinell fel server 10.8.0.0 255.255.255.0 i'r ail ffurfweddiad yn rhoi'r un rhagddodiad i'r ddau achos, a'r canlyniad yw naill ai gwrthodiad i gychwyn neu gystadleuaeth dawel lle mae cleientiaid un gweinydd yn cael cyfeiriadau y mae'r llall hefyd yn credu sy'n eiddo iddo. Nid yw porthladdoedd UDP gwahanol na henwau dyfeisiau gwahanol yn helpu, oherwydd nid yw'r naill na'r llall yn cyffwrdd â'r gofod cyfeiriadau. Newidiwch yr ail gronfa, a'i newid ym mhob man lle mae'r llwybrau'n sôn amdani.

Rhestrwch beth sy'n fyw cyn golygu: mae ip -4 addr show yn rhestru'r dyfeisiau twndel, mae ss -lunp yn rhestru'r gwrandawyr, ac mae systemctl list-units yn enwi'r unedau. Mae un cipolwg ar gyfeiriadau'r twndel yn setlo a yw'r cronfeydd yn gwrthdaro.

Beth mae'r proffil cleient yn ei ychwanegu at y tabl

Mae'r hanner cleient yn ysgrifennu llwybrau cyn gynted ag y bydd yn cysylltu. Mae redirect-gateway def1 yn hollti'r llwybr diofyn yn 0.0.0.0/1 ynghyd â 128.0.0.0/1, y ddau'n cael eu llwybro drwy'r ddyfais newydd, ynghyd â llwybr gwesteiwr i'r gweinydd pell sydd wedi'i binio'n fwriadol i'r rhyngwyneb ffisegol. Mae'r pin hwnnw'n bodoli er mwyn i'r twndel gadw llwybr ar gyfer ei gludiant ei hun. Mae popeth arall, gan gynnwys yr atebion y mae'r gweinydd lleol yn eu dyled i'w gleientiaid ei hun, bellach yn dilyn y diofyn newydd ac yn gadael drwy'r cyswllt pell.

Felly nid twndel wedi torri yw'r ail wrthdrawiad. Twndel gweithredol yn y lle anghywir yn y tabl yw e.

Tair ffordd i gadw'r rolau ar wahân

Mae'r atgyweiriad lleiaf ymwthiol yn cadw'r llwybr diofyn allan o broffil y cleient: route-nopull ynghyd â llinellau route penodol ar gyfer y rhagddodiadau pell, fel bod y tabl lleol yn newid dim ond lle y gwnaethoch ofyn. Y cam nesaf yw rheol polisi sy'n eithrio is-rwydwaith y twndel lleol, gan adael i atebion i gleientiaid lleol adael ar y rhyngwyneb y daethant iddo hyd yn oed pan fo llwybr diofyn yn bodoli. Y mwyaf trwyadl yw gofod enw rhwydwaith ar wahân ar gyfer rôl y cleient, sy'n dileu'r tabl a rennir yn gyfan gwbl ac yn costio ail gyd-destun llwybro i'w gynnal.

Pa bynnag lwybr a gymerwch, rhaid i'r eithriad enwi is-rwydwaith y twndel lleol yn hytrach na'r LAN. Mae gan yr ateb y mae'r gweinydd lleol yn ei anfon gyfeiriad twndel fel cyrchfan, felly nid yw eithriad ar ffurf LAN byth yn cyfateb iddo.

Pa un o'r ddau achos sydd ar fai

Stopiwch yr achos cleient ac ailbrofwch y cleientiaid gwreiddiol. Mae adferiad ar unwaith yn golygu llwybro, nid y gweinydd. Dewch â'r cleient yn ôl a olrheiniwch un ateb gyda ip route get wedi cael cyfeiriad ffynhonnell a chyrchfan ynddo, sy'n dangos y llwybr y byddai'r cnewyllyn yn ei ddewis, yna gwyliwch y rhyngwyneb y mae pecynnau'n ei ddefnyddio mewn gwirionedd gyda tcpdump -ni any port 1194. Mae ffeil statws y gweinydd, a ysgrifennir bob ychydig eiliadau drwy'r gyfarwyddeb status, yn cynnwys rhestr y cleientiaid cysylltiedig a chyfrifwyr beit ar gyfer y ddau gyfeiriad.

Darllenwch y cyfrifwyr hynny yn erbyn ei gilydd. Mae traffig sy'n gadael ac na ddaw byth yn ôl yn ateb llwybro yn hytrach na phroblem cydio dwylo.