Twa OpenVPN-klanten op ien Linux-host: wa is eigner fan de rûte?

Beide profilen melde ferbining en ien fan harren ferfiert stil ferkear dat foar de oare bedoeld is. Twa klanten op ien host is in stipe opstelling; twa klanten sûnder eigner foar elk prefiks net. It wurk giet minder oer it opheljen fan de twadde tunnel en mear oer it besluten hokker proses hokker rûte opeaskje mei. Rin de folchoarder hjirûnder troch en de konfiguraasje folget út de antwurden.

Begjin mei te freegjen wêr’t de twadde tunnel foar is

Trije situaasjes sjogge itselde út op ’e statusrigel en freegje ferskillende ûntwerpen. In bestimmingsoerdieling stjoert ien prefiks troch it kantoarprofyl en in oare troch it laboratoariumprofyl, sûnder dat ien fan beide in standertrûte opeasket. In oerdieling per applikaasje hâldt meast ien folsleine tunnel en rjochtet beskaat ferkear mei beliedsregels. Failover hâldt krekt ien tunnel tagelyk oan, wat betsjut dat de twadde net automatysk starte mei.

Skriuw it gefal op foardat jo in konfiguraasjebestân iepenje, want dat antwurd bepaalt alles dêrnei.

De meast foarkommende stikken opstelling is twa folsleine tunnels dy’t beide in standertrûte skood hawwe, wêrby’t dejinge dy’t lêst ferbûn wint en de earste trochgiet mei dwaan as. Dy steat liket fan ’e statusrigel ôf opsetlik en fergriemt in dei út ’e routingstabel. It gefal earst neame makket it ûnmooglik yn stee fan allinnich ûnwierskynlik.

Sjoch nei de pools foar de rûtes

Twa servers kinne maklik adressen út ien privee berik útjaan, en as se dat dogge, einiget de klant mei twa ynterfaces binnen ien prefiks. Dan kin gjin bestimming mear oan in ynterface taskreaun wurde op basis fan adres, want beide sjogge like korrekt út. Nûmerje ien pool op ’e nij yn stee fan in regel te betinken om de lykstân te brekken.

Kontrolearje ek it lokale netwurk, want in thús- of kantoar-LAN dat in tunnelberik oerlaapet, makket deselde ûndúdlikheid fan ’e oare kant. Ferlykje de adressen op ’e host mei beide serverkonfiguraasjes foardat jo de klant de skuld jouwe. In poolwiziging op in laboratoariumserver is in fiifminutige reparaasje, wylst in beliedsrouting-omwei foar in oerlaapjend prefiks in bliuwende belesting is foar elkenien dy’t de konfiguraasje letter lêst. Beslis hokker fan beide jo wolle foardat jo kieze wêr’t jo yngripe.

Twa adresfamyljes betsjutte twa rûnten fan dizze kontrôle. IPv6-pools botsje like stil as IPv4.

Jou elk profyl in eigner

Ien ynstânsje per profyl, ien konfiguraasjebestân per ynstânsje en ien namme dy’t it pear identifisearret. By Debian-styl pakketten kiest de namme nei it @-teken it bestân, wêrom’t twa profilen mei deselde ynstânsjenamme noait beide wurkje kinne. Befêstigje de mapping út ’e ynstallearre ienheid, net út in tutorial.

systemctl cat [email protected]
ip -4 addr show

Beslis dan wa’t rûtes ynstallearret, wat in beliedsfraach is en gjin syntaksfraach.

As de twa servers net kompatibele sets skowe, foegje dan of ta route-nopull en list allinnich de prefiksen op dy’t elk profyl nedich hat, of lit ien syn standertrûte hâlde en rjochtsje de rest mei in beliedsregel. Twa prosessen dy’t beide in standertrûte ynstallearje, einigje mei ien winner en nimmen kin sizze wêrom. Sadree’t de twa tunnels ferkear foar ferskillende boarnen drage, kin in antwurd troch de ferkearde nei bûten gean, en it patroan dat stân hâldt is in ferbiningsmark dy’t op antwurden werombrocht en yn syn eigen tabel rjochte wurdt. Behein de marken sa dat de eigen fersifere pakketten fan ’e tunnels der noait by passe.

Kontrolearje per tunnel, stop dan ien

As beide oan binne, nim dan trije lêzingen: it adres op elk tunnelapparaat, de rûte nei in host dy’t efter elk fan beide wennet, en it paad dat in bestimming bûten beide nimme soe. In gewoane rûtelist hâldt op mei it beskriuwen fan ’e definitive syktocht sadree’t regels yn it spul komme, dus freegje de kernel wat dy wier kieze soe. Stop dan ien ynstânsje en sjoch wat ferdwynt. As it stopjen fan ’e earste de twadde fersteurt, is der noch wat tusken harren dield: in rûte, in apparaatnamme of in firewallregel dy’t nimmen skieden hat.

ip rule show
ip route get 203.0.113.9

Bring it stoppe profyl werom en werhelje deselde kontrôles, want in tunnel dy’t nei in werstart ien kear wurket en nea wer is in libbenssyklusflater yn in routingkostúm.

Skriuw yn ’e ynsetnotysjes hokker profyl hokker prefiks besit, njonken de poolberikken. Twa tunnels binne in bewuste opstelling, en de folgjende lêzer hat de grins sichtber nedich foardat er ien fan beide profilen oanrekket. Sûnder dy notysje wurdt de grins wer ûntdutsen troch wa’t tsjinst hat as it dielde prefiks úteinlik brekt.