Kaks OpenVPN-kliienti ühel Linuxi hostil: kellele kuulub marsruut?

Mõlemad profiilid teatavad ühendusest ja üks neist kannab vaikselt liiklust, mis on mõeldud teisele. Kaks klienti ühel hostil on toetatud lahendus; kaks klienti, kellel pole iga prefiksi jaoks omanikku, ei ole. Töö on vähem teise tunneli üles tõstmine ja rohkem otsustamine, milline protsess tohib millist marsruuti nõuda. Käige allpool toodud järjekorras ja konfiguratsioon tuleneb vastustest.

Alustage küsimusega, mille jaoks teine tunnel on

Kolm olukorda näevad olekuribal ühesugused välja ja nõuavad erinevaid lahendusi. Sihtkohtade kaupa jagamine saadab ühe prefiksi kontoriprofiili ja teise laboriprofiili kaudu, ilma et kumbki nõuaks vaikimisi marsruuti. Rakenduse kaupa jagamine hoiab tavaliselt ühe täieliku tunneli ja suunab kindla liikluse poliitikareeglitega. Tõrke korral varundamine hoiab korraga täpselt ühe tunneli üleval, mis tähendab, et teine ei tohi automaatselt käivituda.

Kirjutage juhtum üles enne mis tahes konfiguratsioonifaili avamist, sest see vastus määrab kõik järgneva.

Kõige tavalisem katkine lahendus on kaks täielikku tunnelit, mis mõlemad lükkasid vaikimisi marsruudi, kus võidab see, kes ühendus viimasena, ja esimene jätkab teesklemist. See olek näeb olekuribalt tahtlik välja ja raiskab marsruutimistabelist terve päeva. Juhtumi esmalt nimetamine muudab selle võimatuks, mitte ainult ebatõenäoliseks.

Vaadake poole enne marsruute

Kaks serverit jagavad kergesti aadresse ühest privaatsest vahemikust ja kui nad seda teevad, jääb kliendile kaks liidest ühe prefiksi sees. Siis ei saa ühtegi sihtkohta aadressi järgi liidesele omistada, sest mõlemad näevad võrdselt õiged välja. Nummerdage üks pool ümber, selle asemel et leiutada reegel viigi murdmiseks.

Kontrollige ka kohalikku võrku, sest kodu- või kontorivõrk, mis kattub tunneli vahemikuga, tekitab sama mitmetähenduslikkuse teiselt poolt. Võrrelge hosti aadresse mõlema serveri konfiguratsiooniga enne, kui klienti süüdistate. Pooli muutmine laboriserveris on viie minuti parandus, samas kui kattuvale prefiksile poliitikapõhise marsruutimise möödaviik on püsiv maks kõigile, kes konfiguratsiooni hiljem loevad. Otsustage, kumba neist soovite, enne kui valite, kuhu sekkuda.

Kaks aadressiperekonda tähendavad selle kontrolli kahte vooru. IPv6 poolid põrkuvad sama vaikselt kui IPv4 poolid.

Andke igale profiilile omanik

Üks instants profiili kohta, üks konfiguratsioonifail instantsi kohta ja üks nimi, mis paari identifitseerib. Debiani stiilis pakendamisel valib faili nimi @-märgi järel, mistõttu kaks sama instantsinime jagavat profiili ei saa kunagi mõlemad töötada. Kinnitage vastavus paigaldatud üksusest, mitte õpetusest.

systemctl cat [email protected]
ip -4 addr show

Seejärel otsustage, kes marsruute paigaldab, mis on poliitika, mitte süntaksi küsimus.

Kui kaks serverit lükkavad kokkusobimatuid komplekte, siis kas lisage route-nopull ja loetlege ainult prefiksid, mida iga profiil vajab, või laske ühel hoida oma vaikimisi marsruuti ja suunake ülejäänu poliitikareegliga. Kaks protsessi, mis mõlemad paigaldavad vaikimisi marsruudi, lõpetavad ühe võitjaga ja keegi ei oska öelda, miks. Kui kaks tunnelit kannavad liiklust erinevate allikate jaoks, võib vastus väljuda vale tunneli kaudu, ja muster, mis vastu peab, on ühenduse märgis, mis vastustel taastatakse ja suunatakse oma tabelisse. Piirake märgiseid nii, et tunnelite endi krüpteeritud paketid ei langeks nendega kunagi kokku.

Kontrollige iga tunneli kaupa, seejärel peatage üks

Kui mõlemad on üleval, võtke kolm näitu: aadress igal tunneliseadmel, marsruut hostini, mis elab igaühe taga, ja tee, mille sihtkoht mõlemast väljaspool võtaks. Tavaline marsruudiloend lakkab kirjeldamast lõplikku otsingut niipea, kui reeglid mängu tulevad, seega küsige tuumalt, mille see tegelikult valiks. Seejärel peatage üks instants ja vaadake, mis kaob. Kui esimese peatamine häirib teist, on nende vahel ikka veel midagi ühist: marsruut, seadme nimi või tulemüürireegel, mida keegi ei eraldanud.

ip rule show
ip route get 203.0.113.9

Tooge peatatud profiil tagasi ja korrake samu kontrolle, sest tunnel, mis töötab pärast taaskäivitust üks kord ja mitte kunagi enam, on marsruutimiskostüümis elutsükli viga.

Märkige juurutamismärkmetes, milline profiil millist prefiksit omab, poolide vahemike kõrvale. Kaks tunnelit on tahtlik lahendus ja järgmisel lugejal peab olema piir nähtav enne, kui ta ühtegi profiili puudutab. Ilma selle märkmeta avastab piiri uuesti see, kes on valves, kui jagatud prefiks lõpuks katki läheb.