Kaksi OpenVPN-asiakasta yhdellä Linux-isännällä: kenelle reitti kuuluu?

Molemmat profiilit ilmoittavat yhteydestä, ja toinen niistä kuljettaa hiljaa liikennettä, joka on tarkoitettu toiselle. Kaksi asiakasta yhdellä isännällä on tuettu järjestely; kaksi asiakasta ilman omistajaa kutakin etuliitettä kohden ei ole. Työ on vähemmän toisen tunnelin nostamista ja enemmän sen päättämistä, mikä prosessi saa vaatia mitäkin reittiä. Käy läpi alla oleva järjestys, ja kokoonpano seuraa vastauksista.

Aloita kysymällä, mitä varten toinen tunneli on

Kolme tilannetta näyttävät tilannerivillä samoilta ja vaativat erilaiset ratkaisut. Kohdekohtainen jako lähettää yhden etuliitteen toimistoprofiilin ja toisen laboratorioprofiilin kautta, eikä kumpikaan vaadi oletusreittiä. Sovelluskohtainen jako pitää yleensä yhden täyden tunnelin ja ohjaa tietyn liikenteen käytäntösäännöillä. Vikatilasiirtymä pitää tasan yhden tunnelin kerrallaan käynnissä, mikä tarkoittaa, ettei toinen saa käynnistyä automaattisesti.

Kirjoita tapaus muistiin ennen minkään kokoonpanotiedoston avaamista, koska se vastaus päättää kaiken sen jälkeen.

Yleisin rikki mennyt järjestely on kaksi täyttä tunnelia, jotka molemmat työnsivät oletusreitin, jolloin viimeksi yhdistänyt voittaa ja ensimmäinen jatkaa teeskentelyä. Tila näyttää tilanneriviltä tahalliselta ja tuhlaa päivän reititystaulusta. Tapauksen nimeäminen ensin tekee siitä mahdotonta eikä vain epätodennäköistä.

Katso pooleja ennen reittejä

Kaksi palvelinta jakaa helposti osoitteita yhdestä yksityisestä alueesta, ja kun ne tekevät niin, asiakkaalle jää kaksi liitäntää yhden etuliitteen sisään. Silloin mitään kohdetta ei voi osoittaa liitännälle osoitteen perusteella, koska molemmat näyttävät yhtä oikeilta. Numeroi yksi pooli uudelleen sen sijaan, että keksisit säännön tasapelin rikkomiseksi.

Tarkista myös paikallinen verkko, koska tunnelialueen kanssa päällekkäinen koti- tai toimisto-LAN luo saman epäselvyyden toiselta puolelta. Vertaa isännän osoitteita molempiin palvelinkokoonpanoihin ennen kuin syytät asiakasta. Poolin muutos laboratoriopalvelimella on viiden minuutin korjaus, kun taas päällekkäisen etuliitteen käytäntöreitityskierron kiertotie on pysyvä vero kaikille, jotka lukevat kokoonpanon myöhemmin. Päätä, kumman haluat, ennen kuin valitset, mihin puutut.

Kaksi osoiteperhettä tarkoittaa kaksi kierrosta tätä tarkistusta. IPv6-poolit törmäävät yhtä hiljaa kuin IPv4-poolit.

Anna jokaiselle profiilille omistaja

Yksi instanssi profiilia kohden, yksi kokoonpanotiedosto instanssia kohden ja yksi nimi, joka yksilöi parin. Debian-tyylisessä paketoinnissa @-merkin jälkeinen nimi valitsee tiedoston, minkä vuoksi kaksi saman instanssinimen jakavaa profiilia eivät voi koskaan toimia molemmat. Vahvista kartoitus asennetusta yksiköstä, älä opetusohjelmasta.

systemctl cat [email protected]
ip -4 addr show

Päätä sitten, kuka asentaa reitit, mikä on käytäntökysymys eikä syntaksikysymys.

Kun kaksi palvelinta työntää yhteensopimattomat joukot, joko lisää route-nopull ja luettele vain ne etuliitteet, jotka kukin profiili tarvitsee, tai anna yhden pitää oletusreittinsä ja ohjaa loput käytäntösäännöllä. Kaksi prosessia, jotka molemmat asentavat oletusreitin, päätyvät yhteen voittajaan, eikä kukaan osaa sanoa miksi. Kun kaksi tunnelia kuljettaa liikennettä eri lähteille, vastaus voi lähteä väärästä, ja kestävä kuvio on yhteysmerkki, joka palautetaan vastauksiin ja ohjataan omaan tauluunsa. Rajaa merkit niin, etteivät tunnelien omat salatut paketit koskaan osu niihin.

Tarkista tunnelikohtaisesti ja pysäytä sitten yksi

Kun molemmat ovat ylhäällä, ota kolme lukemaa: osoite kussakin tunnelilaitteessa, reitti isäntään, joka elää kunkin takana, ja polku, jonka molempien ulkopuolinen kohde ottaisi. Tavallinen reittiluettelo lakkaa kuvaamasta lopullista hakua heti, kun säännöt tulevat peliin, joten kysy ytimeltä, minkä se oikeasti valitsisi. Pysäytä sitten yksi instanssi ja katso, mitä katoaa. Jos ensimmäisen pysäyttäminen häiritsee toista, jotain on yhä jaettua niiden välillä: reitti, laitteen nimi tai palomuurisääntö, jota kukaan ei erottanut.

ip rule show
ip route get 203.0.113.9

Palauta pysäytetty profiili ja toista samat tarkistukset, koska tunneli, joka toimii kerran uudelleenkäynnistyksen jälkeen eikä enää koskaan, on reitityspuvussa oleva elinkaarivirhe.

Kirjaa käyttöönoton muistiinpanoihin, mikä profiili omistaa minkä etuliitteen, poolien alueiden viereen. Kaksi tunnelia on tarkoituksellinen järjestely, ja seuraava lukija tarvitsee rajan näkyviin ennen minkään profiilin koskettamista. Ilman sitä muistiinpanoa rajan löytää uudelleen se, joka on päivystyksessä, kun jaettu etuliite lopulta hajoaa.