Du OpenVPN-klientoj sur unu Linux-gastiganto: kiu posedas la itineron?

Ambaŭ profiloj raportas konekton, kaj unu el ili silente portas trafikon destinatan al la alia. Du klientoj sur unu gastiganto estas subtenata aranĝo; du klientoj sen posedanto por ĉiu prefikso ne estas. La laboro malpli temas pri starigi la duan tunelon kaj pli pri decidi, kiu procezo rajtas postuli kiun itineron. Trapasu la ordon sube, kaj la agordo sekvos el la respondoj.

Komencu demandante, por kio la dua tunelo estas

Tri situacioj aspektas identaj sur la statlinio kaj postulas malsamajn dezajnojn. Divido laŭ celoj sendas unu prefikson tra la oficeja profilo kaj alian tra la laboratoria profilo, kaj neniu postulas defaŭltan itineron. Divido laŭ aplikaĵo kutime tenas unu plenan tunelon kaj direktas specifan trafikon per politikaj reguloj. Rezerva transiro tenas precize unu tunelon aktiva samtempe, kio signifas, ke la dua ne rajtas starti aŭtomate.

Skribu la kazon antaŭ ol malfermi ajnan agordan dosieron, ĉar tiu respondo decidas ĉion poste.

La plej ofta rompita aranĝo estas du plenaj tuneloj, kiuj ambaŭ puŝis defaŭltan itineron, kie gajnas tiu, kiu konektiĝis laste, kaj la unua daŭre ŝajnigas. Tiu stato aspektas intenca de la statlinio kaj malŝparas tagon el la enkursiga tabelo. Nomante la kazon unue, ĝi fariĝas neebla, ne nur neverŝajna.

Rigardu la naĝujojn antaŭ la itineroj

Du serviloj facile disdonas adresojn el unu privata gamo, kaj kiam ili tion faras, la kliento finiĝas kun du interfacoj ene de unu prefikso. Neniu celo tiam povas esti atribuata al interfaco laŭ adreso, ĉar ambaŭ aspektas same ĝustaj. Renumeru unu naĝujon anstataŭ elpensi regulon por rompi la egalon.

Kontrolu ankaŭ la lokan reton, ĉar hejma aŭ oficeja LAN, kiu interkovras tunelan gamon, kreas la saman dubecon de la alia flanko. Komparu la adresojn sur la gastiganto kun ambaŭ servilaj agordoj antaŭ ol kulpigi la klienton. Naĝuja ŝanĝo sur laboratoria servilo estas kvinminuta ripareto, dum politik-enkursiga ĉirkaŭvojo por interkovranta prefikso estas daŭra imposto por ĉiu, kiu legos la agordon poste. Decidu, kiun el tiuj vi volas, antaŭ ol elekti, kie interveni.

Du adresfamilioj signifas du raŭndojn de tiu ĉi kontrolo. Naĝujoj IPv6 kolizias same silente kiel la IPv4.

Donu al ĉiu profilo posedanton

Unu instanco por profilo, unu agorda dosiero por instanco, kaj unu nomo, kiu identigas la paron. En Debian-stila pakaĵaro la nomo post la signo @ elektas la dosieron, kial du profiloj kun komuna instanca nomo neniam povas ambaŭ funkcii. Konfirmu la mapadon el la instalita unuo, ne el lernilo.

systemctl cat [email protected]
ip -4 addr show

Poste decidu, kiu instalas itinerojn, kio estas demando de politiko, ne de sintakso.

Kiam la du serviloj puŝas neakordigeblajn arojn, aŭ aldonu route-nopull kaj listigu nur la prefiksojn, kiujn ĉiu profilo bezonas, aŭ lasu unu konservi sian defaŭltan itineron kaj direktu la reston per politika regulo. Du procezoj, kiuj ambaŭ instalas defaŭltan itineron, finiĝas kun unu sola venkinto, kaj neniu povas diri kial. Iam la du tuneloj portas trafikon por malsamaj fontoj, respondo povas eliri per la malĝusta, kaj la ŝablono, kiu eltenas, estas konekta marko restarigita sur respondoj kaj direktita en sian propran tabelon. Limigu la markojn tiel, ke la propraj ĉifritaj pakaĵoj de la tuneloj neniam kongruu kun ili.

Kontrolu per tunelo, poste haltigu unu

Iam ambaŭ estas supre, prenu tri legaĵojn: la adreson sur ĉiu tunela aparato, la itineron al gastiganto, kiu loĝas malantaŭ ĉiu el ili, kaj la vojon, kiun prenus celo ekster ambaŭ. Ordinara itinera listo ĉesas priskribi la finan serĉon tuj kiam reguloj eniras la ludon, do demandu la kernon, kion ĝi vere elektus. Poste haltigu unu instancon kaj rigardu, kio malaperas. Se halto de la unua ĝenas la duan, io ankoraŭ estas komuna inter ili: itinero, aparata nomo aŭ fajromura regulo, kiun neniu apartigis.

ip rule show
ip route get 203.0.113.9

Redonu la haltigitan profilon kaj ripetu la samajn kontrolojn, ĉar tunelo, kiu funkcias unufoje post restarto kaj neniam plu, estas cimo de vivciklo en enkursiga kostumo.

Notu en la deplojaj notoj, kiu profilo posedas kiun prefikson, apud la naĝujaj gamoj. Du tuneloj estas intenca aranĝo, kaj la sekva leganto bezonas vidi la limon antaŭ ol tuŝi ajnan profilon. Sen tiu noto, la limon remalkovras tiu, kiu estas deĵora, kiam la komuna prefikso finfine rompiĝas.