Freastalaí nó cliant: cén t-aonad OpenVPN ar Pi le dhá ról

Ritheann dhá phróiseas OpenVPN ar Phi a ghlacann le húsáideoirí fánaíochta agus a shroicheann soláthraí uachtarach ag an am céanna, agus ní roinneann siad beagnach aon rud seachas an crua-earraí. Éisteann ceann le tolláin isteach agus déanann an ceann eile dhiailiú amach. Léann gach ceann a eolaire féin, agus tá a mhód teipe féin ag gach ceann. Is é atosú an aonaid mhícheart an bealach is coitianta a gcríochnaíonn socrú cliaint trí an t-éisteoir a chur ó rath ina ionad.

Meaitseáil ainm an aonaid leis an eolaire a lódálann sé

Soláthraíonn Upstream 2.6 dhá aonad teimpléid, [email protected] agus [email protected]. Tosaíonn teimpléad an fhreastalaí in /etc/openvpn/server agus lódálann sé %i.conf as sin. Tosaíonn teimpléad an chliaint in /etc/openvpn/client. Is féidir le cás darb ainm roaming a bheith sa dá áit ag an am céanna, mar fhreastalaí agus mar chliant, le dhá chumraíocht neamhghaolmhara agus gan aon nasc eatarthu seachas an teaghrán.

Fiafraigh de systemd seachas den chóras comhad, mar cuireann pacálaithe comhaid bhreise leis a fhéadfaidh an eolaire oibre nó na hargóintí a fhaigheann an dénártha a athrú.

systemctl list-units --type=service 'openvpn-*@*'
systemctl cat [email protected]
systemctl show -p WorkingDirectory -p ExecStart [email protected]

Liostaíonn an chéad ordú gach aonad a cruthaíodh, lena n-áirítear iad siúd a theip agus a d'fhan luchtaithe. Priontálann an dara ceann comhad an aonaid mar aon le haon sárú. Is é an tríú ceann an bealach is tapúla chun an dá fhíric a fheiceáil a shocraíonn an cheist: an t-eolaire ina dtosaíonn an próiseas, agus an cosán cumraíochta a tugadh dó.

Socraigh de réir threo na bpaicéad, ní de réir ainm an chomhéadain

Tá socóg éisteachta ag cás freastalaí agus glacann sé le naisc. Is ionchur áitiúil agus aschur áitiúil ar an Pi é a iompar criptithe, agus leanann an trácht a sheolann sé ar aghaidh d'úsáideoirí an cosán seolta agus freagraíonn sé do shraith rialacha eile. Níl éisteoir ag cás cliaint sa chiall sin: déanann sé dhiailiú ar phiara, mar sin is aschur áitiúil i dtreo an fholitheadh é a iompar criptithe.

Insíonn an difríocht sin duit cá mbaineann riail. Ní cheadaíonn riail a mheaitseálann comhéadan taobh istigh de shlabhra seolta ach an trácht a roghnaigh an ródú cheana féin; ní roghnaíonn sé an bealach riamh. Nuair a fhágann paicéid úsáideora fánaíochta tríd an mbealach mícheart, is é an slabhra le scrúdú forward, ní output.

Féach ar na socóga sula ndéanann tú teoiriciú. Taispeánann freastalaí atá ceangailte le udp/1194 socóg éisteachta. Taispeánann an cliant comhlachas le seoladh an tsoláthraí agus rud ar bith ag éisteacht.

ss -lunp | grep openvpn
ss -unp state established '( dport = :1194 or sport = :1194 )'

Féadann bealach réamhshocraithe cás amháin freagraí an chinn eile a ghabháil

Suiteálann redirect-gateway a bhrúnn an cliant uachtarach bealach réamhshocraithe a iomaíonn le gach rud eile ar an meaisín, lena n-áirítear na freagraí a sheolann an freastalaí chuig úsáideoirí fánaíochta. Déanann OpenVPN eisceacht dá sheoladh piara féin ionas go bhfanann an tollán inrochtana, ach ní deir an eisceacht sin aon rud faoi ghuthán ar líonra óstáin.

Is é an tsiomptóm neamhshiméadrach de ghnáth. Críochnaítear an croitheadh lámh, tuairiscíonn an cliant go bhfuil sé ceangailte, agus faigheann an trácht bás tar éis an chéad phaicéid freagra. Coinníonn ródú polasaí bunaithe ar fhoinse, nó marc paicéid a leagtar ar chás an fhreastalaí le --mark, an dá shreabhadh óna chéile; ní sraith iomlán rialacha iad ceachtar acu ann féin, agus teastaíonn bealaí bailí ón dá cheann sa tábla a roghnaíonn siad.

Tástáil an cinneadh áitiúil seachas staid an tolláin, mar roghnaíonn an t-eithne an fhoinse agus an comhéadan sula bhfeiceann OpenVPN an paicéad.

ip route get 203.0.113.44
ip rule show

Atosaigh ról amháin agus cruthaigh gur mhair an ceann eile

Tá tábhacht leis an ord nuair a bhíonn an dá ról ag brath ar an bhfolitheadh céanna. Atosaigh an cliant ar dtús má chaithfidh an bealach uachtarach a bheith ann sula féidir trácht úsáideoirí a sheoladh ar aghaidh, agus atosaigh an freastalaí ar dtús nuair nach n-athraíonn tú ach a éisteoir nó a linne. Deimhnigh an dá aonad ina dhiaidh sin ar aon chaoi, mar féadann atosú teipthe an ról eile a fhágáil ag rith ar sheanstaid.

Scríobh an coinníoll stoptha síos roimh an athrú: an gcuireann cailliúint an tolláin uachtaraigh bac ar úsáideoirí fánaíochta, nó an dtiteann sé ar ais ar an nasc suas féin an Pi? Teastaíonn freagra sainráite ó DNS agus IPv6 freisin, mar is minic a mhaireann réititheoir brúite níos faide ná an bealach a rinne úsáideach é.

systemctl restart [email protected]
systemctl is-active [email protected]
journalctl -u [email protected] -n 20 --no-pager

Ná glac leis an athrú ach amháin nuair a sheasann trí rud ag an am céanna: críochnaítear nasc isteach nua, sroicheann feidhmchlár seolta a cheann scríbe tríd an slí amach atá beartaithe, agus tuairiscíonn an dá phróiseas a bpiara ionchais fós. Má theipeann ar cheann de na trí, d'athraigh tú an cás mícheart nó an bealach mícheart, agus is é an chéad chéim eile an t-aonad a léamh arís seachas rud ar bith eile a atosú.