Gwasanaethu OpenVPN dros TCP ac UDP o un gwesteiwr
Cyn 2.7 mae un broses yn rhwymo un cludydd. Cymharwch bâr TAP wedi'i bontio, dau is-rwydwaith TUN a phwll a rennir, yna cyfatebwch bob proffil i'w wrandawr.
Mae rhwydweithiau sy'n caniatáu TCP 443 yn unig yn cydfodoli â rhwydweithiau sy'n pasio UDP yn rhwydd, ac mae'n rhaid i un gweinydd wasanaethu'r ddau. Mae proffil gyda proto udp yn ateb yr ail grŵp ac yn methu ar y cyntaf, ac nid yw newid yr un ffurfweddiad i ddweud proto tcp yn creu ail wrandawr. Mae'r gyfarwyddeb yn dewis un cludydd ar gyfer un broses. Daw popeth arall o'r cyfyngiad hwnnw.
Naill ai rydych yn rhedeg mwy nag un broses, neu'n rhedeg fersiwn sy'n gallu rhwymo sawl soced ar unwaith.
Cyn 2.7 mae un broses yn rhwymo un cludydd
Mae fersiwn cymunedol OpenVPN yn rhwymo'r soced y mae proto yn ei ddisgrifio, ac mae'r gyfarwyddeb honno'n dewis un cludydd i'r enghraifft. Mae TCP ac UDP yn staciau ar wahân, felly gall yr un rhif porth gael ei feddiannu gan y ddau ar yr un pryd, ond nid gan un broses. Felly mae llinell 2.6 yn rhoi un cludydd i chi fesul daemon. Dileodd OpenVPN 2.7 y cyfyngiad hwnnw i weinyddwyr, sy'n gallu rhwymo sawl soced drwy sawl --local mewn un broses.
Gwiriwch y fersiwn cyn dylunio o gwmpas y naill ateb neu'r llall, oherwydd mae trefniant 2.7 yn fodel gweithredu gwahanol â'i gystrawen ffurfweddu ei hun. Mae canllaw a ysgrifennwyd ar gyfer 2.6 yn disgrifio dwy broses hyd yn oed pan nad yw'n dweud hynny.
Tair ffordd o redeg dwy enghraifft
Gyda rhyngwynebau TAP, rhedwch un enghraifft fesul cludydd a phontiwch y ddau ddyfais tap ar y gwesteiwr. Mae'r ddau set cleient yn gorffen yn yr un parth darlledu, sy'n gadael i un pwll cyfeiriadau eu gorchuddio ac yn cadw protocolau sy'n dibynnu ar ddarlledu yn gweithio. Gyda TUN nid oes pontio ar gael, felly mae'r rhaniad symlaf yn rhoi is-rwydwaith ei hun i bob enghraifft ac yn gadael i lwybro gadw'r ddau set cleient ar wahân. Mae trydydd opsiwn yn cadw un pwll drwy i bob enghraifft alw sgript learn-address sy'n gosod llwybr /32 i'r cleient drwy ddyfais yr enghraifft honno.
Y trydydd trefniant hwnnw yw'r un y mae pobl yn gofyn amdano a'r un sydd angen y gofal mwyaf, oherwydd bod y sgript yn dod yn rhan o'r llwybr data ac yn gorfod trin digwyddiadau ychwanegu, diweddaru a dileu'n gywir.
| Arrangement | Interfaces | Address pool | Cost |
|---|---|---|---|
| Bridged TAP pair | Two tap devices joined by a bridge | One shared pool | Broadcast traffic and bridge maintenance |
| Two TUN subnets | Two tun devices, no bridge | One pool per instance | Routing rules and two plans |
| Shared pool with routes | Two tun devices plus a hook | One pool across both | A script on the data path |
Cadwch y ddwy enghraifft ar wahân
Mae ar bob enghraifft hefyd angen porth neu gyfeiriad ar wahân, ffeil statws ar wahân a chyrchfan log ar wahân. Mae dau daemon yn ychwanegu at un ffeil statws yn cynhyrchu allbwn na ellir ei ddarllen yn ystod digwyddiad, sef yn union pryd y mae ei angen. Os yw ail enghraifft yn rhwymo cyfeiriad penodol, rhaid i'r cyfeiriad hwnnw fodoli ar y gwesteiwr pan fydd y broses yn dechrau; fel arall mae'n gadael â methiant rhwymo cyn dweud unrhyw beth am allweddi.
Enwch yr unedau a'r proffiliau fel bod y cludydd yn amlwg o enw'r ffeil . Ni ddylai'r gweithredwr nesaf orfod agor ffurfweddiad i ddysgu pa un sy'n TCP.
Cyfatebwch y proffil i'r gwrandawr
Mae gweinydd sy'n rhedeg proto tcp yn disgwyl proffil cleient gyda proto tcp-client , ac mae proffil sy'n dal i gario proto udp yn erbyn y gwrandawr hwnnw yn dod i ben heb wall y gall y defnyddiwr weithredu arno . Cadwch ddau broffil os yw'r defnydd yn cynnig y ddau gludydd, a'u labelu fel y gall cymorth wybod pa un a dreisiwyd. Nid yw rhif y porth ar ei ben ei hun yn disgrifio'r cludydd.
Mae rheolau firewall yn dilyn yr un rhaniad: nid yw rheol ar gyfer UDP 1194 yn dweud dim am TCP 1194, ac nid yw rheol ar gyfer un cyfeiriad yn gorchuddio'r gwrandawr arall.
Darllenwch olygfa'r gweinydd yn gyntaf
Dechreuwch gyda ss -lntup ar y gweinydd a chadarnhau bod gwrandawr TCP a gwrandawr UDP ill dau yn ymddangos. Yna cysylltwch un cleient o bob math a gwiriwch yr allbwn statws am ddau gofnod â chyfeiriadau gwahanol. Os yw'r socedi yn bodoli ac nad oes cleient yn cyrraedd, mae'r llwybr neu'r firewall yn gwrthod pecynnau cyn i'r daemon eu gweld.
Mae soced nad yw byth yn ymddangos yn broblem ffurfweddu neu rwymo, ac mae soced sy'n ymddangos ond nad yw byth yn cofnodi cysylltiad yn broblem hidlo. Mae'r ddau yn edrych yn union yr un fath o safbwynt y cleient, a dyna pam mae golygfa'r gweinydd ei hun yn dod yn gyntaf. Cofiwch fod TCP yn cario rhwystro pen y llinell, felly mae ei gynnig yn fesur cyrhaeddedd yn hytrach na uwchraddiad i gleientiaid â llwybr UDP glân.