Ní fheiceann cliaint OpenVPN a chéile: subnet nó net30?

Táirgeann dhá locht neamhghaolmhara an gearán céanna. Sa chéad cheann, ní shroicheann cliant amháin ceann eile fiú le seoladh an tolláin, toisc nach bhfuil na seoltaí in aon subnet amháin nó nach bhfuil an freastalaí ag cur tráchta idir piaraí ar aghaidh. Sa dara ceann, oibríonn ping agus fanann liosta gléasanna an aipe folamh, toisc go mbraitheann an fhionnachtain ar chraoladh nach féidir le tollán ciseal 3 a iompar. Scarann ping amháin iad, agus níl deisiú ceachtar acu cosúil le deisiú an chinn eile ar chor ar bith.

Scoilteann ping amháin an fhadhb ina dhá cuid

Ó chliant amháin, déan ping ar sheoladh tolláin an chliaint eile, ní ar a ainm agus ní ar a sheoladh LAN. Má theipeann air sin, is é an t-aistriú nó an seoladh an fhadhb agus níl baint ag an bhfionnachtain leis go dtí go ndeisítear é. Má éiríonn leis, tá an t-aistriú ag obair cheana féin agus is é an bhearna atá fágtha craoladh nó réiteach ainmneacha.

ip addr show tun0

Léigh comhéadan an chliaint sula ndéanfaidh tú aon rud eile, toisc gurb é an masc líonra a ainmníonn an topology. Ciallaíonn /24 nó masc subnet eile comhthiomsú roinnte; ciallaíonn /30 le seoladh piaraí an leagan amach seanphointe-go-pointe, áit a bhfuil comharsa amháin go beacht ag gach cliant, an freastalaí.

net30 i gcoinne subnet, léite ó thaobh an chliaint

Le net30 tugann an freastalaí bloc beag do gach cliant, mar sin níl aon bhealach chuig seoladh tolláin cliaint eile mura seolann an freastalaí ar aghaidh é. Le subnet tá an comhthiomsú ar fad ina líonra amháin, is féidir le gach cliant aghaidh a thabhairt ar gach cliant eile, agus seolann an freastalaí eatarthu. Sin é an fáth go bhféadfadh cumraíocht freastalaí amháin breathnú go sláintiúil agus ping idir piaraí ag teip: níl aon rud briste, níl na cliaint in aon líonra amháin, sin uile. Feiceann an cliant nasc atá ag obair agus seoladh piaraí nach bhfreagraíonn, rud a léitear mar bhalla dóiteáin ach is leagan amach seolta é.

Is éard atá i bhfeidhm ag athrú an treorach ná eagarthóireacht ar thaobh an fhreastalaí móide atosú, agus baineann sé leis an gcéad nasc eile seachas le seisiúin atá suas cheana. Athnasc na cliaint sula ndéanann tú breithiúnas ar an athrú. Má athghineann gléas an chumraíocht ó chomhéadan gréasáin, taifead an treoir, an comhad agus an dáta, agus déan an eagarthóireacht tríd an gcomhéadan nuair a bhíonn ceann ann, mar scríosfaidh atógáil eagarthóireacht láimhe ar an gcéad sábháil eile.

Is geata ar leith é client-to-client

Fiú laistigh d'aon subnet amháin, caitheann an freastalaí pacáistí a thagann ó chliant amháin agus a sheoltar chuig ceann eile mura bhfuil client-to-client socraithe. Casann an eochairfhocal sin an freastalaí ina aistreoir le haghaidh tráchta piaraí in ionad críochphointe nach nglacann ach leis. Is é an dara coinníoll a chailleann daoine tar éis an topology a dheisiú.

Ní shíneann sé chuig craoladh. Seolann an socrú unicast idir cliaint; ní chasann sé an tollán ina mhír roinnte, agus ní sheachadfaidh aon mhéid de ceist fionnachtain multicast chuig gach piara.

TUN i gcoinne TAP, agus cad is féidir le gach ceann a iompar

Cuireann droicheadú gléis tap isteach sa LAN cliaint iargúlta i bhfearann craolta na hoifige, rud a réitíonn an fhionnachtain go hiomlán. Is é an praghas na hardáin nach gcuireann TAP i bhfeidhm, droichead a chaithfidh a bheith ann ar an bhfreastalaí, agus fearann teipe ina sroicheann stoirm craolta ar chábla na hoifige gach ríomhaire glúine iargúlta.

Do dhá nó trí stáisiún oibre a bhfuil réiteach ainmneacha de dhíth orthu, tá iontráil hosts nó seoladh unicast i bhfad níos saoire ná droichead. Sín chuig TAP nuair a bhíonn prótacal nach féidir leat a mhalartú ag brath ar fhionnachtain ciseal 2, agus ní roimhe sin.

Cliaint an subnet chéanna gan droichead

Ní chuireann seoladh a shannadh ó raon an LAN an cliant ar an gcábla. Déanann an freastalaí ródú idir tollán agus Ethernet, mar sin stopann ARP don seoladh sin ag comhéadan an fhreastalaí agus ní fhoghlaimíonn an chuid eile den LAN riamh cá bhfuil cónaí air.

ip neigh add proxy 10.50.1.250 dev eth0

Dúnann Proxy ARP an bhearna sin trí ligint don fhreastalaí freagra ar son an chliaint. Do raon, bainistíonn parpd na hiontrálacha agus cliaint ag teacht agus ag imeacht, agus freagraíonn an sysctl net.ipv4.conf.eth0.proxy_arp=1 do gach rud a ródáiltear in áit eile, rud atá sách leathan chun a chuid iontas féin a chruthú ar mhír ghnóthach.

Cibé bealach a roghnaíonn tú, bain NAT idir an tollán agus an cábla. Folaíonn riail MASQUERADE go beacht an cheist seolta a bhfuil tú ag iarraidh í a fhreagairt. Fágann sé freisin ag an gcéad duine eile topology nach féidir leis réasúnaíocht a dhéanamh uirthi ó thaobh an chliaint.

Sula n-athraíonn tú aon rud, gabh iarracht amháin ar an bhfreastalaí le tcpdump -ni tun0 agus deimhnigh an dtagann pacáiste an phiaraí ar chor ar bith. Teacht agus é a chaitheamh amach díríonn sé ar client-to-client; gan teacht riamh díríonn sé ar topology nó ar ródú. Lámhleabhar OpenVPN 2.6 doiciméadaíonn sé an dá eochairfhocal agus an topology réamhshocraithe, rud is fiú a sheiceáil i gcoinne do leagain sula gcóipeálann tú líne ó phost fóraim.

• Taispeánann comhéadan tun masc comhthiomsaithe seachas péire piaraí /30.
• Éiríonn ping díreach chuig an seoladh tolláin eile sula dtástálann tú an fhionnachtain.
• Áirítear client-to-client i gcumraíocht an fhreastalaí aon uair a chaithfidh piaraí pacáistí a mhalartú.
• Ainmnigh an prótacal fionnachtain atá á thástáil agat in ionad a rá go dteipeann ar an aip.
• Ná húsáid TAP ach amháin má thacaíonn gach ardán cliaint sa ghrúpa leis.
• Coinnigh NAT as an mbealach idir tollán agus LAN nuair is ábhar é inrochtaineacht laistigh den subnet chéanna.