Kuka omistaa osoitteen, reitin, DNS:n ja palomuurin Linux-VPN:ssä?

Kaksi skriptiä, jotka taistelevat samasta reitistä, on tavallinen muoto Linux-VPN-ongelmasta, joka kirjataan reititysvirheeksi. Yksi komponentti luo tunnelilaitteen, toinen lisää oletusreitin, kolmas kirjoittaa resolverin kokoonpanon uudelleen ja neljäs lataa palomuurin sääntöjä uudelleen. Mikä tahansa niistä voi kumota toisen työn, ja voittaja on yksinkertaisesti se, joka ajoi viimeisenä. Kysymys, johon kannattaa vastata, ei ole se, mikä paketti asennetaan, vaan se, mikä komponentti on valtuutettu kunkin tilan osan osalta.

Kirjoita kartta kerran, ja useimmat uudelleenyhdistämisen epäonnistumiset lakkaavat olemasta salaperäisiä. Neljä kohdetta on tärkeitä: laite ja sen osoitteet, reitit ja käytäntösäännöt, DNS-kokoonpano ja palomuuri.

Laite ja sen osoitteet

Tunnelilaitteen luo joko profiilin tunteva hallintaohjelma tai daemon, jonka joku käynnisti käsin. Molemmat järjestelyt toimivat yksinään; niiden sekoittaminen ei. Jos NetworkManager omistaa profiilin, antakaa sen omistaa myös laite, älkääkä käynnistäkö hallitsematonta OpenVPN-prosessia samaa tunnelin nimeä vastaan.

Kirjaa, kuka poistaa laitteen istunnon päättyessä. Laite, joka elää istuntoaan pidempään, on yleisin syy vanhentuneisiin osoitteisiin ja niitä seuraavaan sekaannukseen.

Reitit ja käytäntösäännöt

Juuri reiteillä omistuskiistat tekevät näkyvää vahinkoa. Yhteyshallinta asentaa tunnelille oletusreitin ja etäverkolle tarkemman reitin; käsin kirjoitettu skripti lisää sitten oman oletusreittinsä eri metrikalla ja voittaa tai häviää hiljaa ajoituksesta riippuen. Päätä, mitkä merkinnät ovat yhteyskohtaisia, mitkä pysyvää käytäntöä ja mikä komponentti päivittää ne uudelleenyhdistämisen jälkeen. Pidä sitten muut komponentit poissa tuosta taulusta.

Käytäntösäännöt ansaitsevat saman selkeyden, sillä sääntö, joka osoittaa tauluun, jota kukaan ei täytä, tuottaa mustan aukon, joka näyttää täsmälleen kuolleelta tunnelilta. Jos sääntö on olemassa pakottamaan liikennettä jonnekin, saman omistajan on ylläpidettävä taulua, jonka se valitsee.

DNS on aina erillinen omistaja

Resolverin daemon pyörii omana prosessinaan oman identiteettinsä alla, joten se ei peri tunnelin reitityspäätöksiä vahingossa. Kun VPN työntää DNS-palvelimia, jonkin on käännettävä se sellaiseksi linkkikohtaiseksi kokoonpanoksi, jota resolveri noudattaa, ja jonkin on poistettava se jälkeenpäin.

Myytti tässä on, että nimipalvelimen kirjoittaminen profiiliin muuttaa sitä, minne kyselyt menevät. Se muuttaa sitä, mitä resolverille kerrotaan, ei sitä, mitä pistoketta resolveri käyttää ylöspäin. Testaa kyselyllä ja reittihaulla sen sijaan, että luottaisit tiedostoon.

Palomuurin tila ja kuka sen palauttaa

Palomuurin säännöt ovat VPN-isännän useimmin ylikirjoitettu kohde. Hallintaohjelma voi lisätä NAT- tai edelleenohjaussääntöjä yhteyttä kohden, kun taas käynnistyksen yhteydessä toimiva palomuuripalvelu lataa tallennetun sääntöjoukon uudelleen ja pyyhkii ne. Valitse yksi valtuus käytännölle ja tee toisesta sen kuluttaja, tai hyväksy, että uudelleenkäynnistys muuttaa käyttäytymistä hiljaa. Yhteyskohtaiset poikkeukset kuuluvat tiedostoon, jonka sama omistaja lataa, eivät vianetsinnän aikana kirjoitettuun iptables-komentoon.

Jos sääntöjen on selvittävä uudelleenyhdistämisestä, sano se selvästi. Jos ei, sano sekin, koska seuraava insinööri olettaa mukavamman vastauksen.

Elinkaari: käynnistys, uudelleenyhdistäminen, purkaminen

Anna jokaiselle kolmelle hetkelle omistaja. Käynnistyksessä päätä, mikä valmistelee edellytykset ja missä järjestyksessä. Pehmeässä uudelleenkäynnistyksessä muista, että laite voi selvitä, mutta istunnon tila ei, joten validoijan on ajettava luojan sijaan. Purkamisen yhteydessä poista vain se, minkä tämä yhteys loi, sillä jokaisen reitin nollaaminen tai koko palomuurin tyhjentäminen ei ole sama kuin yhden tunnelin poistaminen käytöstä.

Havainnointia varten ip monitor link address route näyttää ytimen muutokset niiden tapahtuessa, mutta se raportoi tapahtumista eikä aikomuksesta: poistettu reitti ei kerro mitään siitä, mikä prosessi sen poisti. Yhdistä se omistuskarttaan, ja hämmentävä sammutus muuttuu lyhyeksi ehdokaslistaksi.

Poikkeuksillakin on hintansa. Koko laiteluokan merkitseminen hallitsemattomaksi konfliktin välttämiseksi antaa tämän tilan ei kenellekään, mikä on päätös eikä korjaus.