Bi OpenVPN tunel Linux ostalari bakarrean: nor da bidearen jabe?

Bi profil konektatuta daude, eta horietako bat isilka bestearentzat den trafikoa darama. Linux ostalari batek bi bezeroak OpenVPN aldi berean exekuta ditzake arazorik gabe. Ezin duena zure ordez erabakitzea da zein prozesuk zein aurrizki eskatu dezakeen. Erabaki hori bigarren tunela igo aurretik hartu behar da, baliabide batek erantzuteari utzi ondoren ez.

Hasi bigarren estekak egin behar duen lanetik

Profil baten bidez irisgarria den bulego batek eta beste baten bidez irisgarria den laborategi batek bi tunelak altxatuta behar dituzte eta batek ere ez du dena erreklamatu behar. Bigarren profilen bidez irten behar duen aplikazio tematu batek politika-araua behar du, ez bigarren bide lehenetsia. Erreserbako estekak tunel bat bakarrik behar du aldi berean, beraz, erreserbak ez luke makinarekin batera abiatu behar.

Hiru konfigurazio desberdin dira, eta nahasten dira hirurek modu berean hasten direlako: bigarren profil bat eta konexio arrakastatsu bat. Idatzi lehenik aurreikusitako antolaketa, eta gero konfiguratu haren norabidean. Asmo-esaldi batek ordu bat aurreztatzen du pakete-harrapaketetan.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Lehen komandoak exekutatzen ari diren instantziak zerrendatzen ditu, kudeatzailetik kanpo eskuz abiatutakoak barne. Bigarrenak uneko bide lehenetsiaren erreklamazioa inprimatzen du, geroago azaldu beharko duzun egoera.

Gainjartzen diren poolak bideratzea baino lehenago apurtzen dira

Bi zerbitzarik pozik esleituko dituzte 10.8.0.0/24 beretik datozen helbideak. Orduan bezeroak bi interfaze ditu aurrizki bakar baten barruan, eta ezerk ez du esaten zein helmuga zeini dagokion; ondoriozko portaerak bideratze-hutsegitea dirudi, baina benetan numerazio-hutsegitea da. Pool bat berriz numeratzeak konfigurazio-aldaketa bat balio du; ondorengo bideratze-irtenbide bakoitzak asteburu bat balio du. Egiaztatu pool-a bide bat gehitu aurretik.

Begiratu tokiko LANera ere. 192.168.1.0/24 zenbakidun etxeko LAN batek, tunel batek ere erakusten duena, anbiguotasun bera sortzen du, eta sintoma host-izen bat ebazten dela konexioa inoiz osatzen ez den bitartean da. Hori izen-ebazpen hutsegitea dirudi bideak inprimatu arte.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Konparatu bi irteerak bi zerbitzari-konfigurazioekin bezeroari ukitu aurretik. Aurrizkiak gainjartzen badira, gelditu eta berriz numeratu, ez baitu berrabiarazte-kopuruak ere banatuko.

Eman profil bakoitzari bere unitatea eta aurrizki bakoitzari jabe bat

Profil bakoitzak bere instantzia-izena eta bere konfigurazio-fitxategia ditu, beraz, office izeneko instantziak office.conf kargatzen du eta lab izenekoak lab.conf. Berretsi esleipen hori zerbitzu-kudeatzailearen bidez, direktorio-zerrenda batean fidatu beharrean, drop-in batek zein fitxategi kargatzen den alda baitezake. Esleipena oker eginez gero, exekutatzen ez den profila doitzeko ari zara.

Ondoren erabaki nor arduratzen den bideak instalatzeaz. Zerbitzariek multzo bateraezinak bultzatzen dituztenean, edo ukatu bultzada eta zerrendatu aurrizkiak zeuk, edo utzi profil bati lehenetsia gordetzen eta gidatu bestea politika-arauak erabiliz. Bi prozesuk lehenetsi bat instalatzen dutenean, irabazle isil bat eta erabakiaren erregistro idatzirik gabe amaitzen da.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Lehenak unitatea erakusten du bere argumentuak aldatzen dituen edozein gainidazketarekin. Bigarrenak profila bultzatutako bideak onartzen dituen ala ez erakusten du, eta hori da ondorengo guztia erabakitzen duen etengailua.

Markek erantzunak iritsi ziren interfazean mantentzen dituzte

Tunel bakoitzak iturri desberdinak zerbitzatzen dituenean, erantzun bat esteka okerretik irten daiteke eta konexioa lehen paketearen ondoren hiltzen da. Mantentzen den eredua sarrerako paketeak sarrera-interfazearen arabera markatzea, marka hori erantzunean berrezartzea eta marka bakoitzari bere bide lehenetsia duen taula ematea da.

Bide-alderantzizko iragazketa lasaia normalean lasaitu egin behar da eragindako interfazeetarako, erantzun bat taula nagusiak inoiz aukeratuko ez lukeen esteka batetik iristen delako modu legitimoan. Eutsi markak estu, inoiz ez dezaten tunelen beren trafiko zifratua harrapatu, horrek tunela beretik bidaliko bailuke.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Irakurri lehendik dauden arauak beste bat gehitu aurretik. Lehentasun bikoiztuak eta ahaztutako taulak dira marka-politika bat inolako eraginik ez duela dirudien arrazoi ohikoa.

Frogatu isolamendua esteka bat geldituz

Bi tunelak altxatuta, erregistra itzazu interfaze bakoitzaren helbidea, tunel bakoitzaren atzeko ostalari baterako bidea eta erlaziorik gabeko helmuga batek hartzen duen bidea. Eskatu kernelari bilaketa, taula bakarra irakurri ordez, taula bakarrak ez baitu inoiz azken erabakia erakusten.

Ondoren gelditu instantzia bat eta ikusi bere interfazea eta bideak desagertzen diren bitartean besteak jarraitzen duela. Bizirik iraun duenaren eten batek biak oraindik inork bereizi ez duen gailu-izen, bide edo suebaki-arau bat partekatzen dutela esan nahi du.

Itzuli gelditutako profila eta errepikatu egiaztapen berak. Tunel batek berrabiarazte baten ondorengo lehen martxan bakarrik irauten badu, bizitza-zikloaren akats bat ikusten ari zara, ez bideratze-diseinu bat.