Bi VPN Linux makina bakarrean: probatu bakoitza bere aldetik emaitzak nahastu gabe

Bi konexio-ikono berdek konparazio bat dirudite eta normalean kasualitatea izaten dira. Proben eskaerak bi tunel horietako edozein erabili zezakeelarik, emaitzak onenean horietako bat deskribatzen du eta txarrenean bat ere ez. Eman behaketa bakoitzari sare-testuinguru bat, xede-helmuga bat eta proba hasi aurretik idatzitako itxaropen bat. Zuk zeuk kudeatzen duzun Linux makina batean, izena duten sare-izen-espazioak dira bereizketa hori erosteko modurik merkeena.

Bi argi berde ez dira konparazio bat

Izen-espazio batek bideratze-taulak, interfazeak eta sare-pilaren egoera bereizten ditu, beraz batean hasitako eskaera batek ezin du isilean beste baten tunela maileguan hartu. Bereizten ez duena prozesadore bat, goranzko esteka fisiko bat edo ostalarian martxan dagoen ebazpen-daemona da. Azken hutsune horrexetan huts egiten dute proba horietako gehienek inork ohartu gabe. Izen-espazioa uzten duen eta ostalariko ebaztaileari galdetzen dion bilaketak probako tunelarekin zerikusirik ez duen erantzuna itzultzen du.

Prozedura honek aurrez prestaturiko eta onartutako bi proba-izen-espazio badirela suposatzen du, kanpoko konektibitate funtzionalarekin eta onartutako bezeroekin. Ez du ezer sortzen, ez du ezer erregistratzen eta ez du konfiguraziorik ordezkatzen. Makina birtual bereiziak dira aukera zintzoa bezeroak mahaigaineko saio osoa behar duenean edo horren kanpo exekutatzeari uko egiten dionean.

Finkatu itxaropena lehen exekuzioaren aurretik

Erabaki testuinguru bakoitzeko nolakoa den arrakasta: ebaztailea, zerbitzuaren izena, espero den helbidea eta tunela erortzean eskatzen den portaera. Eutsi balio planifikatu horiei beren zutabean, plana eta behaketa nahasten dituen erregistroa denbora-marka duen fikzioa baita. Azpiko zerrenda da erregistroak behar duen forma, eta errenkada bakoitza lehen konexioa baino lehen betegarria izan behar da.

Ebaztailearen kableatuak bere lerroa behar du erregistro horretan, gezurra esateko probabilitaterik handiena duen eremua delako. Izen-espazioari lotutako fitxategiak, hala nola /etc/netns/vpn-a/resolv.conf beren ohiko bideetan agertzen dira komandoa izen-espazioaren barruan exekutatzen denean, iproute2ren izen-espazioen erreferentzian dioen bezala, baina izen-zerbitzuaren kommutazio-konfigurazioak eta abiarazten duen edozein ebaztaile lokalek bilaketa ostalarira itzul dezakete oraindik.

Tunel bat aldi berean, bestea deskonektatuta

Konektatu A bere jabearen bidez B behera egonda, eta gero aztertu politika, bideak eta hautatutako bidea administrazio-testuingurutik. Azpiko komandoetako hiruk egoera irakurtzen dute; azkenak soilik kontaktatzen du izen-zerbitzu batekin, eta batek ere ez dio eskaerarik bidaltzen aplikazio bati.

sudo ip -n vpn-a -4 rule show
sudo ip -n vpn-a -4 route show table all
sudo ip -n vpn-a -4 route get 10.55.10.20
sudo ip netns exec vpn-a getent ahostsv4 svc-a.lab.internal

Bide-bilaketa batek helmuga bati buruzko galdera hipotetiko bati erantzuten dio, beraz ezin du erakutsi zerbitzuak trafikoa onartzen duenik. Eutsi bi froga-mota horiei zutabe bereizietan, bide osasuntsu bat ukatu den konexio baten ondoan emaitza erreala eta ohikoa baita. Gero bidali eskaera kaltegabe baimendu bat benetako aplikazioarekin, A-ren testuinguruan abiarazia bere erabiltzaile pribilegiorik gabeko arrunt gisa, ziurtagirien balidazioa eta aplikazioaren autentifikazioa osorik, eta erregistratu emaitza zerbitzuak ikusi zuen iturburu-helbidearekin batera. Deskonektatu A bere jabearen bidez eta errepikatu oinarrizko lerro osoa B-rako, egiten duzun konfigurazio-aldaketaren bat ohar ezazu, bestela bi oinarrizko lerroek alderagarri izateari uzten diote.

Biak gora, gero bat behera aldi berean

Egoera egonkorra da zati erraza. Bi tunelak konektatuta, errepikatu testuinguru bakoitzeko bilaketa eta aplikazio-eskaera, gero hautsi tunel bat eta egiaztatu bestea. Berriz konektatu alderantzizko sekuentzian konexio-ordena bera denean galdera.

sudo ip netns exec vpn-a tcpdump -ni any port 443 -c 5
sudo ip netns exec vpn-b getent ahostsv4 svc-b.lab.internal
sudo ip -n vpn-b -4 route get 10.55.20.20

Harrapaketak aplikazio-emaitza batek ezin dituen eztabaidak ebazten ditu: erakusten du eskaera espero zenuen interfazetik irten zen ala beste zerbait guztiz desberdinetik. Trantsizio bakoitzeko erregistratu jabearen ekintza, denbora-marka, bidearen emaitza, izenaren emaitza eta aplikazioaren emaitza. Gero egiaztatu itxiera seguruaren baldintza eragindako izen-espazioaren barruan, isolamendua ez baita etengailu bat. Izen-espazio batek bi tunel bereizten ditu; ez dio batari ez besteari trafikoa eramatea eragozten bere profilek trafikoak gelditu behar duela dioenean.

Zer aldarrikatu dezakeen erregistro honek eta zer ez

Gainditze batek behaketa horiek frogatzen ditu antolaketa honetarako, ostalari honetan, une hartan. Ez du ezer esaten mahaigaineko bideratze-taula bat partekatzen duten bi bezerori buruz, ezta bi tunelak karga eramaten ari direneko emariari buruz ere. Galdera bereiziak dira, proba bereiziekin, eta konparazio bat errenkada bakoitzari erantsitako testuinguruak adina da ona.

Eutsi huts egiteei erregistroan, arrakasten ondoan, une hartan zein tunel zegoen gora markatuta. Neurketa-uneko egoera ezkutatzen duen orrialde garbia erakusten duen itsusi bat baino okerragoa da. Erregistroa geroago berrerabilgarria egiten duena testuingurua da, ez puntuazioa.

Makina bateko bi tunel zintzoki aldera daitezke, baina benetan kontrolatu dituzun testuinguru adina baino ez. Horretatik haragoa alboan ikono berde bat duen nahi bat da.