Bi OpenVPN bezero Linux atebide batean: banatu politika

Bi OpenVPN deabrukidek tunel arrakastatsu bat jakinaraz dezakete biek ala biek, atebideak bezero guztiak beretik bidaltzen dituen bitartean. Esku-ematean ezerk ez du erabakitzen bezero batek zein tunel erabiltzen duen; kernelak erabakitzen du, paketeka, politika-arauak eta gero arau bakoitzak izendatzen duen taula zeharkatuz. Horrela begiratzen badiozu, konfigurazioa ez da OpenVPN aukerei buruzkoa izateari uzten eta bi jabe dituen bideratze-matrize bilakatzen da.

Kernelak erabakitzen du, ez deabruak

Birbidalitako pakete bat LAN interfazean iristen da, eta bideratze-kodeak arauen zerrenda ebaluatzen du lehentasun-ordenean. Hautatzailea bat datorren lehen arauak taula bat izendatzen du, eta taula horren bideek irteerako gailua aukeratzen dute. Taulak bat datorren biderik ez badu, bilaketak hurrengo araura jarraitzen du, eta xehetasun horrek erdi egindako konfigurazio bat isilki huts egitea eragiten du, ozenki beharrean.

Tunelaren prozesuak ez du esatekorik zeharkaldi horretan. Interfaze bat sortzen du eta bideak instala ditzake, baina bezero jakin baten paketea interfaze horretara sartzen den ala ez bidali zen taularen mende dago erabat. Beraz, inportatutako bide berdinak dituzten bi tunel lehiatzen dira, eta azken idazleak irabazten du guztiontzat. Horregatik konfigurazio bat orekatua dirudi konfigurazio-fitxategietan eta, hala ere, bezero guztiak deabru bakarren bidez bidaltzen ditu.

Eman instantzia bakoitzari bere baliabide-multzoa

Hasi izenekin, berrerabilitako izenak baitira bi instantziak ustekabean egoera partekatzeko modua. Esleitu tunel-gailu desberdinak, konfigurazio-fitxategi desberdinak, kredentzial desberdinak eta zerbitzu-unitate desberdinak. Idatzi instantzia bakoitzaren kanpoko amaiera-puntua eta tunel-helbidea politikaren matrizearen taula berean, geroagoko aldaketa batek begiratzeko leku bakarra izan dezan.

dev tun-office
route-nopull
pull-filter ignore "redirect-gateway"

dev tun-lab
route-nopull

route-nopull zerbitzari batek bultzatutako bideak tokiko taulatik kanpo mantentzen ditu, eta hori da nahi duzuna politika-taulak esplizituak izan behar direnean. Zerbitzari jakin batek redirect-gateway aukera ere bultzatzen duen, eta zure bezeroaren bertsioak iragazki-forma onartzen duen, eskuliburuan egiaztatzea merezi du suposatu beharrean.

Idatzi matrizea: iturria, taula, gailua

Bezero-talde bakoitzerako, gehitu iturri-helbidearen arabera taula bat hautatzen duen arau bat, eta gero jarri nahi den bidea taula horretan:

ip rule add from 10.8.1.0/24 lookup 100 priority 1000
ip rule add from 10.9.1.0/24 lookup 200 priority 1000
ip route add default dev tun-office table 100
ip route add default dev tun-lab table 200

Taulak taldeak izan beharko lituzkeen helmuga-bideak behar ditu, eta atebidea erabilgarri mantentzen duten tokiko edo kudeaketa-salbuespenak. Bide lehenetsi bat soilik duen taula talde horretarako tunel osoaren politika da, eta hori zehazki zuzena izan daiteke, baina erabaki bat izan beharko litzateke, ez hutsune bat.

Tunelaren beraren garraioa ez dago bezero-taldean

Deabru bakoitzaren pakete zifratuak atebidean bertan sortzen dira, kanpoko kideari zuzenduta. Bezeroaren iturri-prefixa soilik bat datorren arauak pakete horiek bakean uzten ditu, eta horregatik iturrira mugatutako arauak seguruagoak dira denarekin bat datozen arauak baino. Hautatzailerik gabeko arau batek tunelaren beraren garraioa har dezake eta tunel batetik itzul dezake, eta orduan konexioak huts egiten du hornitzailearen arazoa dirudien moduan.

Mantendu tokiko kudeaketa-saioa eta beheko geruzaren bidea politika-tauletatik kanpo esplizituki. Idatzi salbuespen horiek matrizearen ondoan; diseinuaren parte dira, ez dira istripu batean berriro aurkitu beharreko irtenbide bat.

Bide bat aukeratzeak ez du hura baimentzen

Birbidaltzeko baimena geroago bidean hartzen den bigarren erabakia da. Bigarren tunelatik irteten diren paketeak onartzen dituen suebakiko arau batek ez du bideratze-kodea hura aukeratzera behartzen, eta taula zuzen batek ez du birbidaltzeko baimenik ematen. Biek egon behar dute, eta horietako bat soilik frogatzen duen proba batek besteari buruz engainatuko zaitu. Talde batek funtzionatzen duenean eta besteak ez, egiaztatu bi urrats horiek bereiz, taulekin berridatzi beharrean.

Iturriaren itzulpena hirugarren erabakia da, eta iturri-taldeari eta benetan daraman tunel-gailuari mugatu beharko litzaioke. Gehitu kate dedikatu bat bi instantzentzat postrouting katea hustu beharrean, erlaziorik gabeko zerbitzuek sarrera izan baititzakete han eta hustuketak isilki kentzen baititu.

Zer gertatzen den tunel bat erortzean

Erabaki hutsegite-jokabidea aldez aurretik. Tunel-taula batek bere bidea galtzen duenean, bilaketak hurrengo araura erortzen da, eta taldearen trafikoak beste tunel edo ohiko goiko estekaren bidez jarraitzen du errorerik gabe. Hori onargarria ez bada, gehitu amaiera-arau bat lehentasun-zenbaki txikiagoarekin, iturri horretarako emaitza eskuraezina itzultzen duena, galera xurgatua izan beharrean ikusgai izan dadin.

Bidali eskaera berri bat iturri-talde bakoitzetik eta idatzi lau gertaera: hautatutako taula, irteerako gailua, itzulitako iturria eta erantzuna bide beretik itzuli den. Gero jaitsi tunel bat eta errepikatu. Interfaze-zerrendan bi TUN gailuk bi deabruak abiatu zirela frogatzen dute; ez dute ezer esaten bezero jakin batek zein erabili zuen. Bigarren exekuzioak, tunel bat faltan, zure ordezko arauak nahi zenuena egiten duen erakusten du.