Dau dwnel OpenVPN ar un gwesteiwr Linux: pwy sy'n berchen ar y llwybr?

Mae dau broffil wedi cysylltu, ac mae un ohonynt yn cario traffig a fwriadwyd ar gyfer y llall yn dawel. Gall gwesteiwr Linux redeg y ddau gleient OpenVPN ar unwaith heb drafferth. Yr hyn na all ei wneud yw penderfynu drosot pa broses sy'n cael hawlio pa ragddodiad. Rhaid gwneud y penderfyniad hwnnw cyn i'r ail dwnel godi, nid ar ôl i adnodd roi'r gorau i ateb.

Dechreuwch o'r gwaith y mae'n rhaid i'r ail gysylltiad ei wneud

Mae angen i swyddfa y gellir ei chyrraedd trwy un proffil a labordy y gellir ei gyrraedd trwy un arall gael y ddau dwnel i fyny ac nad yw'r naill na'r llall yn hawlio popeth. Mae angen rheol polisi, nid ail lwybr diofyn, ar un cymhwysiad styfnig sy'n gorfod gadael trwy'r ail broffil. Dim ond un twnel sy'n rhedeg ar y tro sydd ei angen ar gysylltiad wrth gefn, felly ni ddylai'r sbâr ddechrau gyda'r peiriant.

Mae'r rhain yn dri chyfluniad gwahanol, ac maent yn cael eu drysu oherwydd bod y tri yn dechrau'r un ffordd: ail broffil a chysylltiad llwyddiannus. Ysgrifennwch y trefniant a fwriadwyd yn gyntaf, yna ffurfweddwch tuag ato. Mae un frawddeg o fwriad yn arbed awr o gasglu pecynnau.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Mae'r gorchymyn cyntaf yn rhestru'r enghreifftiau sy'n rhedeg, gan gynnwys unrhyw un a gychwynnwyd â llaw y tu allan i'r rheolwr. Mae'r ail yn argraffu'r hawliad diofyn cyfredol, sef y cyflwr y bydd yn rhaid i chi ei esbonio'n ddiweddarach.

Mae cronfeydd sy'n gorgyffwrdd yn torri cyn i'r llwybrau wneud

Bydd dau weinydd yn dyrannu cyfeiriadau o'r un 10.8.0.0/24 yn llawen. Yna mae'r cleient yn dal dau ryngwyneb o fewn un rhagddodiad heb ddim yn dweud pa gyrchfan sy'n perthyn i ba un, ac mae'r ymddygiad sy'n deillio yn edrych fel nam llwybro ond mewn gwirionedd mae'n nam rhifo. Mae ailrifo cronfa yn costio un golygiad ffurfweddu; mae pob gwaith llwybro dilynol yn costio penwythnos. Edrychwch ar y gronfa cyn ychwanegu llwybr ar ei chyfer.

Edrychwch ar y LAN lleol hefyd. Mae LAN cartref â rhif 192.168.1.0/24 y mae un twnel hefyd yn ei ddatgelu yn cynhyrchu'r un amwysedd, a'r symptom yw enw gwesteiwr sy'n datrys tra nad yw'r cysylltiad byth yn gorffen. Mae hynny'n edrych fel nam datrys enwau nes i chi argraffu'r llwybrau.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Cymharwch y ddau allbwn â'r ddau gyfluniad gweinydd cyn cyffwrdd â'r cleient. Os yw'r rhagddodiaid yn gorgyffwrdd, stopiwch ac ailrifwch, oherwydd ni fydd unrhyw faint o ailgychwyn yn eu gwahanu.

Rhowch uned ei hun i bob proffil a pherchennog i bob rhagddodiad

Mae pob proffil yn cael ei enw enghraifft ei hun a'i ffeil ffurfweddu ei hun, felly mae'r enghraifft o'r enw office yn llwytho office.conf tra bod yr un o'r enw lab yn llwytho lab.conf. Cadarnhewch y mapio hwnnw trwy'r rheolwr gwasanaethau yn lle ymddiried mewn rhestr cyfeiriadur, oherwydd gall drop-in newid pa ffeil sy'n cael ei llwytho. Mae cael y mapio'n anghywir yn golygu eich bod yn tiwnio'r proffil nad yw'n rhedeg.

Yna setlwch pwy sy'n gosod llwybrau. Pan fydd y gweinyddwyr yn gwthio setiau anghydnaws, naill ai gwrthodwch y gwthiad a rhestru'r rhagddodiaid eich hun, neu gadewch i un proffil gadw'r llwybr diofyn a llywio'r llall gyda rheolau polisi. Mae dau broses sy'n gosod llwybr diofyn y ddau yn gorffen gyda buddugwr tawel a dim cofnod ysgrifenedig o'r penderfyniad.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Mae'r cyntaf yn dangos yr uned gydag unrhyw ddiystyru sy'n newid ei dadleuon. Mae'r ail yn dangos a yw'r proffil yn derbyn llwybrau wedi'u gwthio o gwbl, sef y switsh sy'n penderfynu popeth i lawr yr afon.

Mae marciau'n cadw atebion ar y rhyngwyneb y daethant ohono

Pan fydd pob twnel yn gwasanaethu ffynonellau gwahanol, gall ateb adael trwy'r cysylltiad anghywir a bydd y cysylltiad yn marw ar ôl y pecyn cyntaf. Y patrwm sy'n dal yw marcio pecynnau sy'n cyrraedd yn ôl rhyngwyneb mewnbwn, adfer y marc hwnnw ar yr ateb, a rhoi tabl gyda'i giât ddiofyn ei hun i bob marc.

Fel arfer rhaid llacio hidlo llwybr cefn rhydd ar gyfer y rhyngwynebau dan sylw, oherwydd mae ateb yn cyrraedd yn gyfreithlon trwy gysylltiad na fyddai'r brif dabl byth yn ei ddewis. Cadwch y marciau'n gul fel nad ydynt byth yn dal traffig amgryptiedig y tuneli eu hunain, a fyddai'n anfon y twnel trwyddo'i hun.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Darllenwch y rheolau presennol cyn ychwanegu un arall. Blaenoriaethau dyblyg a thablau wedi'u hanghofio yw'r rheswm arferol pam mae polisi marc yn ymddangos heb unrhyw effaith o gwbl.

Profwch ynysu trwy stopio un cysylltiad

Gyda'r ddau dwnel i fyny, cofnodwch gyfeiriad pob rhyngwyneb, y llwybr i un gwesteiwr y tu ôl i bob twnel, a'r llwybr y mae cyrchfan digyswllt yn ei gymryd. Gofynnwch i'r kernel am y chwiliad yn lle darllen un tabl, oherwydd nid yw un tabl byth yn dangos y penderfyniad terfynol.

Yna stopiwch un enghraifft a gwyliwch ei rhyngwyneb a'i llwybrau yn diflannu tra bod y llall yn parhau. Mae toriad yn yr un sy'n goroesi yn golygu bod y ddau yn dal i rannu enw dyfais, llwybr neu reol mur tân na wahanodd neb.

Dewch â'r proffil a stopiwyd yn ôl a rhowch yr un gwiriadau eto. Pan fydd twnel yn goroesi dim ond ar y cychwyn cyntaf ar ôl ailgychwyn, rydych chi'n edrych ar nam cylch bywyd yn hytrach na dyluniad llwybro.