OpenVPN-i teenindamine TCP ja UDP kaudu ühest hostist
Enne 2.7 seob üks protsess ühe transpordi. Võrrelge sillatud TAP-paari, kahte TUN-i alamvõrku ja ühist basseini ning sobitage seejärel iga profiil oma kuulajaga.
Võrgud, mis lubavad ainult TCP 443, eksisteerivad kõrvuti võrkudega, mis lasevad UDP vabalt läbi, ja üks server peab teenindama mõlemat. Profiil, milles on proto udp , vastab teisele rühmale ja ebaõnnestub esimese puhul, ning sama konfiguratsiooni muutmine ütlema proto tcp ei loo teist kuulajat. Direktiiv valib ühe protsessi jaoks ühe transpordi. Kõik muu tuleneb sellest piirangust.
Kas te käitate rohkem kui ühte protsessi või versiooni, mis suudab korraga siduda mitu soklit.
Enne 2.7 seob üks protsess ühe transpordi
Kogukonna versioon OpenVPN seob sokli, mida kirjeldab proto , ja see direktiiv valib eksemplari jaoks ühe transpordi. TCP ja UDP on eraldi virnad, seega sama pordi numbri võivad korraga hõivata mõlemad, kuid mitte üks protsess. Seetõttu annab 2.6 liin teile ühe transpordi deemoni kohta. OpenVPN 2.7 kõrvaldas selle piirangu serverite jaoks, mis saavad ühes protsessis siduda mitu soklit mitme --local abil.
Kontrollige versiooni enne, kui kavandate mõne kahest vastusest ümber, sest 2.7 lahendus on teistsugune töömudel oma konfiguratsioonisüntaksiga. 2.6 jaoks kirjutatud juhend kirjeldab kahte protsessi ka siis, kui ta seda ei ütle.
Kolm viisi kahe eksemplari käitamiseks
TAP-liidestega käitage üks eksemplar transpordi kohta ja sildage hostis kaks tap-seadet. Mõlemad kliendihulgad satuvad samasse leviedastusdomeeni, mis lubab ühel aadressibasseinil neid katta ja hoiab leviedastusest sõltuvad protokollid töös. TUN-i puhul sildamine puudub, seega annab lihtsaim jaotus kummalegi eksemplarile oma alamvõrgu ja jätab marsruutimisele kahe kliendihulga eraldamise. Kolmas võimalus hoiab ühe basseini, lastes igal eksemplaril kutsuda learn-address skripti, mis paigaldab kliendile /32 marsruudi läbi selle eksemplari seadme.
Just seda kolmandat lahendust inimesed küsivad ja just see nõuab kõige rohkem hoolt, sest skriptist saab andmetee osa ja see peab lisamise, uuendamise ja kustutamise sündmusi õigesti käsitlema.
| Arrangement | Interfaces | Address pool | Cost |
|---|---|---|---|
| Bridged TAP pair | Two tap devices joined by a bridge | One shared pool | Broadcast traffic and bridge maintenance |
| Two TUN subnets | Two tun devices, no bridge | One pool per instance | Routing rules and two plans |
| Shared pool with routes | Two tun devices plus a hook | One pool across both | A script on the data path |
Hoidke kaks eksemplari eraldi
Iga eksemplar vajab ka eraldi porti või aadressi, eraldi olekufaili ja eraldi logisihtmärki. Kaks deemonit, mis kirjutavad ühte olekufaili, annavad väljundi, mida intsidendi ajal lugeda ei saa, ja just siis on seda vaja. Kui teine eksemplar seob kindla aadressi, peab see aadress hostis protsessi käivitumise hetkel olemas olema; muidu väljub see sidumisveaga enne, kui ütleb midagi võtmete kohta.
Nimetage üksused ja profiilid nii, et transport oleks failinimest ilmne . Järgmine operaator ei peaks avama konfiguratsiooni, et teada saada, milline on TCP.
Sobitage profiil kuulajaga
Server, mis käitab proto tcp , ootab kliendiprofiili, milles on proto tcp-client , ja profiil, mis kannab endiselt proto udp , jookseb selle kuulaja vastu aegumiseni ilma veata, mille peale kasutaja saaks tegutseda . Hoidke kahte profiili, kui juurutus pakub mõlemat transporti, ja märgistage need nii, et tugi näeks, millist prooviti. Üksnes pordi number ei kirjelda transporti.
Tulemüüri reeglid järgivad sama jaotust: reegel UDP 1194 jaoks ei ütle midagi TCP 1194 kohta ja ühe aadressi reegel ei kata teist kuulajat.
Lugege esmalt serveri vaadet
Alustage serveris käsuga ss -lntup ja veenduge, et ilmuvad nii TCP- kui ka UDP-kuulaja. Seejärel ühendage kummastki liigist üks klient ja kontrollige olekuväljundist kahte kirjet erinevate aadressidega. Kui soklid on olemas ja ükski klient ei tule, lükkab tee või tulemüür paketid tagasi enne, kui deemon neid näeb.
Sokkel, mis ei ilmu kunagi, on konfiguratsiooni või sidumise probleem, ja sokkel, mis ilmub, kuid ei logi kunagi ühendust, on filtreerimise probleem. Kliendi poolelt näevad need kaks ühesugused välja, seetõttu tuleb serveri enda vaade esimesena. Pidage meeles, et TCP kannab rea alguse blokeerimist, seega on selle pakkumine kättesaadavuse meede, mitte uuendus klientidele, kellel on puhas UDP tee.