Pi amháin, dhá chás OpenVPN: cad a léann gach aonad
Léann dhá dheamhan OpenVPN ar an Pi céanna comhaid chumraíochta éagsúla agus téann siad amach trí chrúcaí éagsúla. Déan mapa de gach cás, ansin tástáil conair an ualaigh ar leith.
Líon na próisis OpenVPN sula dtéann tú i dteagmháil le próifíl. Ritheann Pi a ghlacann le húsáideoirí soghluaiste agus a dhiailíonn seirbhís uas-shrutha freisin dhá dheamhan, agus léann gach ceann acu comhad cumraíochta a roghnaítear de réir ainm an cháis a chlóscríobh tú. Ansin tugann na teimpléid phacáistithe dá dheamhan a chomhadlann oibre féin, a chomhad stádais am rite féin agus a ghléas tolláin féin. Má dhéanann tú an deighilt sin mícheart, caithfidh tú tráthnóna ag athrú socrú ceart i gcomhad nach n-osclaíonn an próiseas atá ag rith riamh.
Roghnaíonn gach ainm cáis a chomhad féin
Sna comhaid aonaid a sheoltar le OpenVPN 2.6, iompraíonn na hargóintí tosaigh ionadaí cáis a líontar ón téacs tar éis an chomhartha @. Ritheann teimpléad an fhreastalaí ó chomhadlann chumraíochta an fhreastalaí agus réitíonn sé a argóint le %i.conf ansin, agus déanann teimpléad an chliaint an rud céanna ó chomhadlann an chliaint. Mar sin léann [email protected] admits.conf i gcomhadlann an fhreastalaí agus léann [email protected] uplink.conf i gcomhadlann an chliaint, agus níl aon chiall le ceachtar den dá ainm sa chomhadlann eile.
Deimhnigh an mapáil ar an meaisín seachas glacadh leis gur choinnigh an pacáiste réamhshocruithe an uas-shrutha. Tá cead ag drop-in dáileacháin an chomhadlann oibre nó an argóint chumraíochta a athsholáthar go hiomlán.
systemctl cat [email protected]
systemctl cat [email protected]Léigh an líne WorkingDirectory agus an argóint chumraíochta san aschur sin, mar is é an t-aonad cumasaithe an t-aon rud a shocraíonn cén comhad a luchtaítear. Sáraíonn drop-in a chuireann --config le ExecStart an teimpléad fiú nuair a bhíonn cosán an teimpléid ceart. Iarr cosáin an fhragmint agus an drop-in nuair is mian leat a fháil amach an bhfuil sárú áitiúil i bhfeidhm. Má réitíonn an dá ról le comhad amháin, tá próiseas amháin agat atá ag iarraidh a bheith ina fhreastalaí agus ina chliaint, agus bíonn an rogha is déanaí sa chomhad sin i réim go ciúin.
Buaileann iompar áitiúil agus ualach a atreoraítear crúcaí éagsúla
Gintear nasc criptithe an fhreastalaí le gach húsáideoir soghluaiste ar an Pi féin, mar sin téann a fhreagraí seachtracha amach tríd an gcrúca aschuir áitiúil. Is aschur a ghintear go háitiúil freisin nasc an chliaint lena phiara uas-shrutha, cé go sroicheann sé líonra iargúlta. Is tríú catagóir é ualach a atreoraítear, agus ní dhéanann an t-eithne é a mheaitseáil ach amháin tar éis di gléas amach a roghnú cheana féin don phacáiste.
| Flow | Hook that sees it | What to inspect |
|---|---|---|
| Roaming user handshakes to the server | Local input and local output | Listener socket, bind address, rule admitting the UDP port |
| User payload leaving through the upstream tunnel | Forward | IPv4 forwarding switch, selected route, permission rule, any translation |
| Pi's own connection to the upstream peer | Local output | Underlay route to the provider endpoint, not the tunnel route |
Is féidir le riail a mheaitseálann comhéadan amach laistigh de shlabhra atreoraithe pacáiste a cheadú nó a scriosadh a bhfuil an ródú tar éis a shannadh cheana féin don chomhéadan sin, ach ní roghnaíonn sí an comhéadan riamh. Nuair a chríochnaíonn óstach amháin tollán amháin agus a thosaíonn sé ceann eile, is cinntí ar leith iad an beartas a sheolann ualach úsáideora isteach sa tollán uas-shrutha agus an beartas a chosnaíonn freagraí criptithe an Pi féin. Tarlaíonn dóibh teacht i dtír ar an gcárta líonra fisiceach céanna, agus sin an fáth a ndéantar iad a mheascadh.
Míníonn an t-idirdhealú sin leath-chliseadh coitianta. Ceanglaíonn úsáideoirí, críochnaíonn an chrot, agus téann a gcuid tráchta amach ar an mbealach mícheart fós, toisc go raibh an crot áitiúil agus an t-ualach atreoraithe agus nach ndearnadh tástáil ach ar cheann amháin den dá rud.
Is féidir le bealach iompórtáilte freagraí chuig do chuid úsáideoirí a shlogadh
Socraíonn socrú slándála phróifíl an chliaint cad is féidir leis an uas-shruth a bhrú isteach i dtábla ródaithe an Pi, agus is é an atreorú leathan an rogha a chasann óstach dhá ról atá ag obair ina cheann briste. Má chlúdaíonn an bealach brúite seoltaí poiblí na n-úsáideoirí soghluaiste, féadfaidh na freagraí a ghineann an freastalaí ina dtreo leanúint an bhealaigh nua isteach sa tollán uas-shrutha in ionad éalú tríd an bhfo-stratam. Deimhníonn daoine go minic go n-oibríonn an tollán chuig an soláthraí fós agus stopann siad ansin, toisc gurb é an trácht sin iompar an tolláin féin agus leanann sé ag sileadh agus gach rud eile ag iompar go dona.
Is é beartas bunaithe ar fhoinse nó ar mharc an bealach a choinnítear an dá shruth óna chéile. Stampálann rogha mhairc Linux OpenVPN pacáistí criptithe an deamhain féin le marc balla dóiteáin, ar féidir le riail ródaithe iad a sheoladh ansin chuig tábla tiomnaithe. Oibríonn seoltaí foinse chomh maith céanna nuair a fhágann freagraí seachtracha an fhreastalaí ó aon seoladh fo-strata amháin i gcónaí. Teastaíonn bealaí bailí sa tábla a roghnaíonn sé ó cheachtar cur chuige, mar aon le heisceacht do chríochphointe an tsoláthraí, nó stopann an tollán féin ag teacht suas.
Fiafraigh den eithne cén conair a thógfadh freagra i ndáiríre sula scríobhann tú aon riail. Is ionadaithe iad na seoltaí thíos do sheoladh fo-strata Pi agus do sheoladh poiblí aon úsáideora soghluaiste.
ip rule show
ip route get 198.51.100.7 from 192.0.2.10Fíoraigh an deighilt, ansin stop ról amháin ag an am
Tástáil trí shruth ar leith, mar ní chruthaíonn crot atá ag obair aon rud faoin dá cheann eile. Glac le nasc isteach nua, seol feidhmchlár amháin ceadaithe tríd an asphoirt uas-shrutha, agus deimhnigh go sroicheann an dá phróiseas a gcuid piaraí féin fós.
Ansin stop ról an chliaint agus féach cad a choinníonn ról an fhreastalaí. Is é seo an bealach is saoire chun riail bhealaigh nó mhairc a aimsíonn a bhí beartaithe do chás amháin agus a cuireadh i bhfeidhm ar an dá cheann.
systemctl stop [email protected]
systemctl status [email protected] --no-pager
ss -lunp | grep openvpn
journalctl -u [email protected] -n 20 --no-pagerIs é an rud a theastaíonn uait a fheiceáil ná an t-éisteoir fós ceangailte, an ghléas tolláin fós i láthair, agus an logáil saor ó earráidí nua agus ról an chliaint síos. Má ghearrann stopadh an chliaint freagraí an fhreastalaí do na húsáideoirí atá ann cheana féin, roinneann an dá ról rud éigin ar chóir a bheith teoranta do cheann acu. Taifead cén cás, cén comhad cumraíochta agus cén t-úinéir sreafa a bhain le gach athrú, mar is é an chéad duine eile a dhéanfaidh dífhabhtú ar an óstach seo a athdhéanfaidh an fionnachtain chéanna ón tús mura ndéanfaidh tú amhlaidh.