Zerbitzu-helbide bakarra OpenVPN nodo bakoitzean: zer ez duen egiten

Bezero bat hainbat OpenVPN zerbitzarietako batera konektatzen da eta gero nodo horretan bertan exekutatzen den zerbitzu txiki bat behar du: egoera-orri bat, metrika-endpoint bat, babeskopia-agente bat. Nodo bakoitzari zerbitzu-helbide pribatu bera emateak bezeroaren konfigurazioa berdin bihurtzen du, zein zerbitzaritan lurreratu den berdin. Erosotasun hori erreala da, eta erraza da gehiegi interpretatzea: helbide partekatuak zein nodotara iritsi zaren esaten du, ez dagoela ezer soberan.

Zergatik funtzionatzen duen helbide berak nodo bakoitzean

Nodo bakoitzak helbidea lokal gisa dauka eta beraren alde erantzuten du, beraz uneko tunelaren bidez helbidera iristen den bezeroak tunel horren beste muturrean dagoen zerbitzua jasotzen du. Nodoen artean ezer ez da koordinatzen, eta trafikorik ez da nodo batetik bestera igarotzen.

Helbidea etiketa lokala da, errepikatua eta ez kopiatua. Nodo bakoitzak bere buruaren alde baino ez du erantzuten, eta batek ere ez du trafikoa birbidaltzen helbidearen alde beste nodo baten izenean. Horrek bezeroaren konfigurazio bakarra baliozkoa izaten uzten du zerbitzariak independente mantentzen diren bitartean. Hori da, halaber, diseinuak nodoen artean koordinaziorik behar ez izatearen arrazoia.

Horregatik funtzionatzen du konfigurazio berak zerbitzari guztietan, haien artean bideratze-protokolorik gabe. Horregatik ere ez du diseinuak osasunari buruz ezer esaten: helbidea nodo osasungaitz batean dago zehazki osasuntsu batean bezala, ostalariari lotuta baitago eta ez zerbitzua erabilgarria izateari.

Esleitu loopbackari, ez tunelari

Helbidea loopback interfaze batean jartzeak tunel-gailu ororen bizitzatik bereizten du, beraz birkonexio batek edo konfigurazioaren birkarga batek ez du kentzen. Helbidea ostalariak irauten duen bitartean existitzen da.

Helbide bat lo gainean ez da iragazkia. Zerbitzuak hala ere entzun behar du harekin, eta ostalariaren suebakiak sarrerako benetako bidea ebaluatzen jarraitzen du, tunel interfazetik iristen dena. Loopbackek lokal hutsean esan nahi duela uste duenak bezero legitimoak blokeatzea edo nahi ez zuen zerbait agerian uztea amaitzen du.

Egin esleipena iraunkorra ostalariaren sare-konfigurazioaren bidez, hook batetik berriro gehitu beharrean. Konfigurazio-hook bat ez da abiarazten tunelik altxatu ez zen nodo batean, eta zerbitzu-helbideak ez luke tunelaren jardueraren menpe egon behar. Jarri helbidea zure banaketak kudeatzen duen interfaze-konfigurazioan, gero berrabiarazi behin eta egiaztatu. Berrabiaraztea da geroagoko konfigurazio-aldaketa bat gainditzen duen proba bakarra.

ip address show dev lo | grep 10.250.0.1
ip address add 10.250.0.1/32 dev lo

Bultzatu bide bakarra eta esan helburu bakarra

Bezeroak helbiderako ostalari-bidea behar du, konektatzen den zerbitzariak eskainia. Zerbitzari guztiek helmuga bera eskaintzen dutenez, profilek ez du aldatzen bezeroa mugitzen denean.

Egiaztatu bezeroak zer instalatu zuen zerbitzuari errua bota aurretik.

ip route get 10.250.0.1

HTTP zerbitzu baterako, eman helbideari izen bat eta izen horretarako ziurtagiri bat. IP partekatua ez da identitatea, eta ez du TLS egiaztapena kentzen, ezta gako pribatu bat nodo guztietara kopiatzea justifikatzen ere. Helbide partekatura ebazten duen izen batek ziurtagiriaren kontakizuna arrunta izaten uzten du eta nodo bakoitzeko identitatea mantentzeko aukera ematen dizu, behar baduzu.

Zer ezin duen helbide partekatuak

Ez du hutsegite-konmutaziorik ematen. Aukeratutako nodoa hiltzen bada, helbidea harekin hiltzen da, eta bezeroak beste nonbait berriz konektatu behar du.

Ez du TCP saio bizirik migratzen, konexio berria beste ostalari batean amaitzen baita, zaharraren berririk gabe.

Ez du nodo osasuntsurik aukeratzen, ez du karga orekatzen, ez du nodoen artean daturik sinkronizatzen. Horietako bakoitza mekanismo bereizia da, bere hutsegite-moduekin, eta helbideratze-trikia horiek estaltzen dituela itxuratzea da diseinu sinple batek erresilientziako ospe merezigabea lortzeko modua. Bi tunel batera aktibo badaude, helmugaren esanahia anbiguoa bihurtzen da, beraz, eduki esplizitu tunel aktibo bakarraren hipotesia.

Eduki zerbitzuaren identitatea izenarekin

Idatzi helbideak zer esan nahi duen: bezeroa une honetan konektatuta dagoen nodoko zerbitzura iristen da. Esaldi bakar horrek erakusten duen gaizki-ulertuaren zatirik handiena saihesten du.

Ondoren dokumentatu piezak elkarrekin: helbidea, bizi den interfazea, zerbitzariak bultzatzen duen bidea, eta zerbitzuak aurkezten duen izena eta ziurtagiria. Etorkizuneko irakurle batek egiazta ditzakeen lau datu txiki, egiaztatuko dituen ordenan.

Baldintza nodo-lokal zerbitzu baterako helmuga egonkorra bada, patroia egokia da eta ia ezer ez du kostatzen.

Baldintza erabilgarritasuna bada, igo maila bat: karga-balantzagailu bat, osasun-egiaztapenak dituen zerbitzu-izen bat edo nodo bat ordezkatzen badaki jada duen orkestrazio-sistema bat.

Hori goiz erabakitzeak helbide partekatua dena izaten uzten du, etiketa erosoa, inoiz diseinatu ez zen lana isilean egitea espero zaion osagai bihurtu beharrean.