Dwy gyfeiriad gwasanaeth ar un cleient OpenVPN: iroute a lo

Mae’r rhaglen yn ateb ar ei chyfeiriad twnnel, ac mae’r cyfeiriad a wnaethoch ei ddogfennu ar ei chyfer yn mynd i unman. Nid oes dim yn y cofnod OpenVPN yn cwyno, mae’r cyfoedr yn dangos fel un cysylltiedig, ac mae’r canolbwynt yn rhestru’n union un cleient. Y bwlch yw bod ail gyfeiriad ar gleient yn ddau ffaith ar wahân: rhaid i’r gwesteiwr ei feddu, a rhaid i’r canolbwynt wybod pa gyfoedr sy’n ei feddu. Triniwch y naill heb y llall a bydd y traffig naill ai’n marw yn y canolbwynt neu’n cyrraedd heb lwybr adref.

Mae’r alias yn lleol, mae’r perchnogaeth yn bell

Mae cyfeiriad twnnel yn cael ei drafod, felly mae’r ddau ben yn ei ddysgu yn ystod yr ysgwyd llaw. Nid yw cyfeiriad gwasanaeth ychwanegol yn cael ei drafod o gwbl, a dyna pam nad yw ei ychwanegu yn newid dim ar y canolbwynt ar ei ben ei hun. Gall y cleient feddu’r cyfeiriad ar unwaith, a bydd y gweinydd yn dal i anfon y traffig hwnnw ar ei lwybr diofyn neu’n ei ollwng. Rhaid creu dau gofnod, mewn dau le gwahanol.

Ar y cleient, mae’r cyfeiriad yn perthyn i’r gwesteiwr, a loopback yw’r cartref naturiol ar gyfer hunaniaeth gwasanaeth na ddylai byth ymddangos ar gyswllt ffisegol. Ar y canolbwynt, mae’r mapio cyfoedr-i-ragddodiad yn ddatganiad ar wahân nad yw ond y gweinydd yn ei ddarllen. Nid yw’r naill gofnod yn awgrymu’r llall.

Cadwch y ddau amrediad ar wahân yn eich nodiadau hefyd. Mae cyfeiriadau mewn enghraifft yn werthoedd dogfennu, ac mae eu gorgyffwrdd â LAN go iawn yw’r ffordd gyflymaf o wneud i osodiad sy’n gweithio edrych yn doredig.

Ychwanegwch y cyfeiriad ar y cleient yn barhaol

Rhowch y cyfeiriad gwasanaeth ar loopback gyda rhagddodiad gwesteiwr, fel bod y gwesteiwr yn ei drin fel mewnbwn lleol yn hytrach na fel is-rwyd i’w chyrraedd. Mae ip address add 10.66.0.10/32 dev lo yn gwneud hynny ar gyfer un cyfeiriad, ac mae ailadrodd y gorchymyn ar gyfer ail gyfeiriad yn modelu dau wasanaeth.

Rhedwch hynny fel prawf un tro, yna symudwch ef i beth bynnag sy’n berchen ar ffurfweddiad rhwydwaith y gwesteiwr, oherwydd mae ychwanegiad amser rhedeg yn diflannu ar ailgychwyn ac mae dyblygiadau’n cronni ar draws ailgysylltiadau. Mae uned systemd a drefnwyd ar ôl y rhwydwaith yn un opsiwn, a rheolwr rhwydwaith dosbarthiad yn un arall. Pa un bynnag a ddewiswch, rhaid i’r cyfeiriad fodoli cyn i’r rhaglen rwymo, neu mae’r gwasanaeth yn codi ar y soced anghywir. Gwiriwch gyda ip address show dev lo ar ôl ailgychwyn yn hytrach nag ar ôl y gorchymyn â llaw.

Mae rhwymo’n benderfyniad ar wahân i gyfeirio. Mae rhaglen sy’n gwrando ar bob cyfeiriad yn derbyn traffig ar ryngwynebau na fwriadwyd gennych, felly pwyntiwch hi at y cyfeiriad gwasanaeth penodol. Yna mae gan y polisi mewnbwn lleol rywbeth manwl i gyd-fynd ag ef.

Hawliwch ef yn y ffeil CCD y mae’r canolbwynt yn ei darllen mewn gwirionedd

Ar y gweinydd, mae’r datganiad perchnogaeth yn mynd i’r ffeil fesul cleient a ddewisir gan yr enw cyffredin dilys, y tu mewn i’r cyfeiriadur a enwir gan client-config-dir. Y llinell yw iroute 10.66.0.10 255.255.255.255, un y cyfeiriad, ac mae’n dweud wrth y gweinydd pa gyfoedr a ddylai dderbyn traffig ar gyfer y cyrchfan honno.

Mae dau fanylyn yn torri hyn yn dawel. Rhaid i enw’r ffeil gyd-fynd â’r enw y mae’r gweinydd yn ei ddefnyddio mewn gwirionedd, sy’n wahanol pan fydd username-as-common-name ar waith. Ac nid yw iroute yn dod i rym ond yn y modd TUN gyda chyfeiriadur ffurfweddiad cleient wedi’i ffurfweddu, felly nid yw’r un llinell yn gwneud dim mewn defnydd pont. Ychwanegwch linellau at y ffeil bresennol yn hytrach na’i disodli, oherwydd mae’n bosibl ei bod eisoes yn cario cyfeiriad sefydlog neu opsiynau push. Mae cyfeirlyfr OpenVPN 2.6 yn dogfennu’r cyfeiriadur a’r gyfarwyddeb berchnogaeth.

Mae angen llwybr i’r cyrchfannau hynny ar graidd y canolbwynt hefyd fel bod traffig a gynhyrchir yn lleol yn mynd i mewn i broses y twnnel. Mae route 10.66.0.10 255.255.255.255 yn ffurfweddiad y gweinydd yn cwmpasu traffig y mae’r gweinydd yn ei greu, tra bod angen push "route 10.66.0.10 255.255.255.255" ar gleientiaid eraill i ddysgu’r gyrchfan eu hunain.

Mae llwybro ac awdurdodi’n parhau ar wahân. Mae llwybr a wthir yn dweud wrth gleient ble i anfon pecynnau ac nid yw’n rhoi dim; rhaid i’r gwasanaeth barhau i dderbyn y galwr ar ei delerau ei hun.

Gwiriwch y polisi mewnbwn a’r llwybr ateb

Mae pecyn a gyfeiriwyd at yr alias yn cyrraedd y gwesteiwr sy’n berchen arno fel mewnbwn lleol, felly’r cwestiwn yw a yw’r mur tân lleol yn caniatáu’r ffynhonnell a’r porth hwnnw. Caniatwch borth gwasanaeth penodol o amrediad ffynhonnell y VPN yn hytrach nag agor y cyfeiriad cyfan.

Mae angen llwybr yn ôl at y galwr ar yr atebion. I alwr y tu mewn i’r pwll twnnel arferol mae’r llwybr hwnnw’n bodoli’n barod, oherwydd mae’r ddyfais twnnel yn ei gario. Mae angen llwybr dychwelyd y rhwydwaith honno hefyd ar alwr y tu ôl i rwydwaith a lwybrwyd yn wahanol, a dyma lle mae gosodiadau anghymesur yn colli pecynnau.

Gwyliwch am ail wrandawr ar yr un porth wedi’i rwymo i gyfeiriad gwahanol, oherwydd mae’r craidd yn danfon i ba soced bynnag sy’n cyfateb ac mae’r canlyniadau’n edrych yn hap. Gwiriwch gyda ss -lntp a chadarnhewch mai’r alias gwasanaeth yw’r cyfeiriad rhwymedig. Nid oes angen NAT ffynhonnell yma, ac mae ei ychwanegu’n cuddio hunaniaeth y galwr y mae eich cofnodion yn dibynnu arni.

Profwch gyfeiriadau a pherchnogaeth ar wahân

Profwch mewn dau gam. Yn gyntaf cadarnhewch y gall y gwesteiwr sy’n berchen ar y cyfeiriad gyrraedd y gwasanaeth ar ei alias o’i hun, sy’n gwahanu problemau rhwymo a mur tân oddi wrth lwybro. Yna profwch o alwr VPN go iawn gan ddefnyddio dilysu’r rhaglen ei hun. Pan fydd y cyntaf yn pasio a’r ail yn methu, mae’r darn coll ar ochr y canolbwynt.

Gwiriwch hefyd y moddau methu sy’n goroesi cysylltiad: mae’r alias yn aros wedi’i neilltuo pan fydd y twnnel i lawr, ac mae’r canolbwynt yn cadw ei lwybr pan fydd y cyfoedr yn absennol. Nid yw’r un gwrthrych ar ei ben ei hun yn profi bod y gwasanaeth yn cyrraeddadwy, a dyna pam mae’r prawf dau gam yn curo un ping o liniadur.