Δύο πελάτες OpenVPN σε έναν κεντρικό υπολογιστή Linux: ποιος κατέχει τη διαδρομή;

Και τα δύο προφίλ αναφέρουν σύνδεση και ένα από αυτά μεταφέρει ήσυχα κίνηση που προορίζεται για το άλλο. Δύο πελάτες σε έναν κεντρικό υπολογιστή είναι υποστηριζόμενη διάταξη· δύο πελάτες χωρίς ιδιοκτήτη για κάθε πρόθεμα δεν είναι. Η εργασία αφορά λιγότερο το σήκωμα της δεύτερης σήραγγας και περισσότερο την απόφαση ποια διεργασία δικαιούται να διεκδικήσει ποια διαδρομή. Ακολουθήστε τη σειρά παρακάτω και η διαμόρφωση προκύπτει από τις απαντήσεις.

Ξεκινήστε ρωτώντας για τι χρειάζεται η δεύτερη σήραγγα

Τρεις καταστάσεις φαίνονται ίδιες στη γραμμή κατάστασης και απαιτούν διαφορετικούς σχεδιασμούς. Ο διαχωρισμός προορισμών στέλνει ένα πρόθεμα μέσω του προφίλ γραφείου και ένα άλλο μέσω του προφίλ εργαστηρίου, χωρίς κανένα να διεκδικεί προεπιλεγμένη διαδρομή. Ο διαχωρισμός ανά εφαρμογή συνήθως κρατά μία πλήρη σήραγγα και κατευθύνει συγκεκριμένη κίνηση με κανόνες πολιτικής. Η εναλλαγή αστοχίας κρατά ακριβώς μία σήραγγα ενεργή κάθε φορά, που σημαίνει ότι η δεύτερη δεν πρέπει να ξεκινά αυτόματα.

Γράψτε την περίπτωση πριν ανοίξετε οποιοδήποτε αρχείο διαμόρφωσης, γιατί αυτή η απάντηση καθορίζει όλα τα επόμενα.

Η συνηθέστερη σπασμένη διάταξη είναι δύο πλήρεις σήραγγες που και οι δύο έσπρωξαν προεπιλεγμένη διαδρομή, όπου κερδίζει όποιος συνδέθηκε τελευταίος και η πρώτη συνεχίζει να προσποιείται. Αυτή η κατάσταση φαίνεται σκόπιμη από τη γραμμή κατάστασης και σπαταλά μια μέρα από τον πίνακα δρομολόγησης. Το να ονομάσετε πρώτα την περίπτωση την κάνει αδύνατη και όχι απλώς απίθανη.

Κοιτάξτε τις δεξαμενές πριν από τις διαδρομές

Δύο διακομιστές μπορούν εύκολα να δίνουν διευθύνσεις από ένα ιδιωτικό εύρος, και όταν το κάνουν, ο πελάτης καταλήγει με δύο διεπαφές μέσα σε ένα πρόθεμα. Κανένας προορισμός δεν μπορεί τότε να αποδοθεί σε διεπαφή βάσει διεύθυνσης, γιατί και οι δύο φαίνονται εξίσου σωστές. Επαναριθμήστε μία δεξαμενή αντί να επινοήσετε κανόνα για να λύσετε την ισοπαλία.

Ελέγξτε και το τοπικό δίκτυο, γιατί ένα οικιακό ή εταιρικό LAN που επικαλύπτει εύρος σήραγγας δημιουργεί την ίδια ασάφεια από την άλλη πλευρά. Συγκρίνετε τις διευθύνσεις στον κεντρικό υπολογιστή με τις δύο διαμορφώσεις διακομιστή πριν κατηγορήσετε τον πελάτη. Μια αλλαγή δεξαμενής σε διακομιστή εργαστηρίου είναι διόρθωση πέντε λεπτών, ενώ μια παράκαμψη δρομολόγησης πολιτικής για επικαλυπτόμενο πρόθεμα είναι μόνιμος φόρος για όποιον διαβάσει τη διαμόρφωση αργότερα. Αποφασίστε ποιο από τα δύο θέλετε πριν επιλέξετε πού να επέμβετε.

Δύο οικογένειες διευθύνσεων σημαίνουν δύο γύρους αυτού του ελέγχου. Οι δεξαμενές IPv6 συγκρούονται τόσο ήσυχα όσο και οι IPv4.

Δώστε σε κάθε προφίλ έναν ιδιοκτήτη

Ένα στιγμιότυπο ανά προφίλ, ένα αρχείο διαμόρφωσης ανά στιγμιότυπο και ένα όνομα που προσδιορίζει το ζεύγος. Στη συσκευασία τύπου Debian, το όνομα μετά το σύμβολο @ επιλέγει το αρχείο, γι’ αυτό δύο προφίλ που μοιράζονται όνομα στιγμιοτύπου δεν μπορούν ποτέ να δουλέψουν και τα δύο. Επιβεβαιώστε την αντιστοίχιση από την εγκατεστημένη μονάδα και όχι από οδηγό.

systemctl cat [email protected]
ip -4 addr show

Έπειτα αποφασίστε ποιος εγκαθιστά διαδρομές, που είναι ζήτημα πολιτικής και όχι σύνταξης.

Όταν οι δύο διακομιστές σπρώχνουν ασύμβατα σύνολα, είτε προσθέστε route-nopull και απαριθμήστε μόνο τα προθέματα που χρειάζεται κάθε προφίλ, είτε αφήστε το ένα να κρατήσει την προεπιλεγμένη διαδρομή του και κατευθύνετε τα υπόλοιπα με κανόνα πολιτικής. Δύο διεργασίες που και οι δύο εγκαθιστούν προεπιλεγμένη διαδρομή καταλήγουν με έναν μόνο νικητή και κανείς δεν μπορεί να πει γιατί. Μόλις οι δύο σήραγγες μεταφέρουν κίνηση για διαφορετικές πηγές, μια απάντηση μπορεί να βγει από τη λάθος, και το μοτίβο που αντέχει είναι ένα σημάδι σύνδεσης που αποκαθίσταται στις απαντήσεις και κατευθύνεται στον δικό του πίνακα. Περιορίστε τα σημάδια ώστε τα ίδια τα κρυπτογραφημένα πακέτα των σηράγγων να μην ταιριάζουν ποτέ.

Επαληθεύστε ανά σήραγγα και μετά σταματήστε μία

Όταν και οι δύο είναι πάνω, πάρτε τρεις μετρήσεις: τη διεύθυνση σε κάθε συσκευή σήραγγας, τη διαδρομή προς έναν υπολογιστή που ζει πίσω από καθεμία, και το μονοπάτι που θα ακολουθούσε ένας προορισμός έξω από τις δύο. Μια απλή λίστα διαδρομών παύει να περιγράφει την τελική αναζήτηση μόλις μπουν κανόνες στο παιχνίδι, οπότε ρωτήστε τον πυρήνα τι θα διάλεγε πραγματικά. Μετά σταματήστε ένα στιγμιότυπο και δείτε τι εξαφανίζεται. Αν η διακοπή της πρώτης ενοχλεί τη δεύτερη, κάτι μοιράζεται ακόμη μεταξύ τους: μια διαδρομή, ένα όνομα συσκευής ή ένας κανόνας τείχους προστασίας που κανείς δεν χώρισε.

ip rule show
ip route get 203.0.113.9

Επαναφέρετε το σταματημένο προφίλ και επαναλάβετε τους ίδιους ελέγχους, γιατί μια σήραγγα που δουλεύει μία φορά μετά από επανεκκίνηση και ποτέ ξανά είναι σφάλμα κύκλου ζωής με στολή δρομολόγησης.

Καταγράψτε στις σημειώσεις ανάπτυξης ποιο προφίλ κατέχει ποιο πρόθεμα, δίπλα στα εύρη δεξαμενών. Δύο σήραγγες είναι σκόπιμη διάταξη και ο επόμενος αναγνώστης χρειάζεται να βλέπει το όριο πριν αγγίξει οποιοδήποτε προφίλ. Χωρίς αυτή τη σημείωση, το όριο ανακαλύπτεται ξανά από όποιον έχει βάρδια όταν το κοινό πρόθεμα σπάσει τελικά.