Zerbitzaria edo bezeroa: zein OpenVPN unitate Pi bikoitzekoan

Bi OpenVPN prozesu exekutatzen dira Pi batean, aldi berean ibiltariak diren erabiltzaileak onartzen eta goiko hornitzaile bat lortzen dituena, eta hardwareaz gain ia ezer ez dute partekatzen. Batek sarrerako tunelei entzuten die, besteak kanpora deitzen duen bitartean. Bakoitzak bere direktorioa irakurtzen du, eta bakoitzak bere hutsegite-modua du. Okerra berrabiaraztea da entzulea nahasten duen bezero-konponketaren ohikoena.

Egin bat unitatearen izena kargatzen duen direktorioarekin

Upstream 2.6-k bi txantiloi-unitate dakartza, [email protected] eta [email protected]. Zerbitzariaren txantiloia /etc/openvpn/server-n hasten da eta bertatik %i.conf kargatzen du. Bezeroaren txantiloia /etc/openvpn/client-n hasten da. roaming izeneko instantzia bi tokietan egon daiteke aldi berean, zerbitzari eta bezero gisa, elkarren arteko erlaziorik gabeko bi konfiguraziorekin eta bien arteko loturarik gabe kateaz gain.

Galdetu systemd-ri fitxategi-sistemari beharrean, pakete-egileek laneko direktorioa edo bitarrak jasotzen dituen argumentuak alda ditzaketen fitxategi gehigarriak gehitzen dituztelako.

systemctl list-units --type=service 'openvpn-*@*'
systemctl cat [email protected]
systemctl show -p WorkingDirectory -p ExecStart [email protected]

Lehen komandoak instantziatutako unitate bakoitza zerrendatzen du, huts egin eta kargatuta jarraitu zutenak barne. Bigarrenak unitatearen fitxategia inprimatzen du edozein gainidaztekin batera. Hirugarrena da galdetegia erabakitzen duten bi datuak ikusteko modurik azkarrena: prozesua hasten den direktorioa, eta eman zaion konfigurazio-bidea.

Erabaki paketearen norabidearen arabera, ez interfazearen izenaren arabera

Zerbitzari-instantzia batek entzuteko socket bat du eta konexioak onartzen ditu. Bere garraio enkriptatua Pi-ko sarrera lokala eta irteera lokala da, erabiltzaileentzat birbidaltzen duen trafikoak birbidaltze-bidea jarraitzen duen bitartean eta beste arau-multzo bati erantzuten dio. Bezero-instantzia batek ez du entzulerik zentzu horretan: pare bati deitzen dio, beraz bere garraio enkriptatua beheko geruzarantz irteera lokala da.

Desberdintasun horrek esaten dizu non dagokion arau bati. Birbidaltze-kate baten barruko interfaze batekin bat datorren arauak bideratzeak dagoeneko hautatu duen trafikoa soilik baimentzen du; inoiz ez du ibilbidea hautatzen. Erabiltzaile ibiltari baten paketeak bide okerretik ateratzen direnean, ikuskatzeko katea forward da, ez output.

Begiratu socketak teorizatu aurretik. udp/1194ra lotutako zerbitzari batek entzuteko socket bat erakusten du. Bezeroak hornitzailearen helbidearekiko elkarketak erakusten ditu eta entzuten duen ezer ez.

ss -lunp | grep openvpn
ss -unp state established '( dport = :1194 or sport = :1194 )'

Instantzia baten bide lehenetsiak bestearen erantzunak har ditzake

Goiko bezeroak bultzatutako redirect-gateway batek bide lehenetsi bat instalatzen du, makinako beste guztiarekin lehiatzen dena, besteak beste zerbitzariak erabiltzaile ibiltariei bidaltzen dizkien erantzunak. OpenVPN-k salbuespen bat egiten du bere pare-helbiderako, tunela irisgarri jarrai dezan, baina salbuespen horrek ez du ezer esaten hotel-sare batean dagoen telefonoz.

Sintoma normalean asimetrikoa da. Esku-estutzea osatzen da, bezeroak konektatuta dagoela jakinarazten du, eta trafikoa lehen erantzun-paketearen ondoren hiltzen da. Iturriaren araberako politika-bideratzeak, edo zerbitzari-instantzian --mark-rekin jarritako pakete-marka batek, bi fluxuak bereiz mantentzen ditu; bakoitza ez da bere horretan arau-multzo osoa, eta biek ibilbide baliodunak behar dituzte hautatzen duten taulan.

Probatu erabaki lokala, tunelaren egoera ez ezik, nukleoak iturria eta interfazea hautatzen dituelako OpenVPN-k paketea ikusi aurretik.

ip route get 203.0.113.44
ip rule show

Berrabiarazi rol bat eta frogatu besteak bizirik iraun duela

Ordenak garrantzia du bi rolek beheko geruza bera behar dutenean. Berrabiarazi bezeroa lehenengo goiko ibilbidea erabiltzaile-trafikoa birbidali aurretik egon behar bada, eta berrabiarazi zerbitzaria lehenengo haren entzulea edo haren igerilekua bakarrik aldatzen dituzunean. Edozein modutan, berretsi bi unitateak geroago, huts egindako berrabiarazte batek beste rola zaharkitutako egoerarekin lanean utz dezakeelako.

Idatzi gelditzeko baldintza aldaketaren aurretik: goiko tunela galtzeak erabiltzaile ibiltariak blokeatzen ditu, edo Pi-ren bere gorako estekara jotzen du? DNS eta IPv6-ek erantzun argia behar dute ere, bultzatutako ebaztaile bat bizirik irauten baitu askotan erabilgarri egin zuen ibilbidea baino gehiago.

systemctl restart [email protected]
systemctl is-active [email protected]
journalctl -u [email protected] -n 20 --no-pager

Onartu aldaketa hiru gauza aldi berean betetzen direnean soilik: sarrerako konexio berri bat osatzen da, birbidalitako aplikazio bat bere helmugara iristen da aurreikusitako irteeratik, eta bi prozesuek oraindik beren pare espero dutena jakinarazten dute. Hiruretako batek huts egiten badu, instantzia okerra edo ibilbide okerra aldatu duzu, eta hurrengo urratsa unitatea berriro irakurtzea da, beste ezer berrabiarazi beharrean.