Dhá chliant OpenVPN ar aon gheata Linux amháin: roinn an pholasaí

Is féidir le dhá OpenVPN dheamhan tollán rathúil a thuairisciú araon agus an geata ag seoladh gach cliant síos an ceann céanna. Ní dhéanann aon rud sa chroitheadh láimhe cinneadh faoin tollán a úsáideann cliant; is é an t-eithne a shocraíonn é, paicéad ar phaicéad, trí na rialacha polasaí agus ansin an tábla a ainmníonn gach riail a shiúil. Nuair a fhéachann tú air mar sin, stopann an chumraíocht de bheith faoi roghanna OpenVPN agus éiríonn sí ina maitrís ródaithe le beirt úinéirí.

Socraíonn an t-eithne, ní an deamhan

Sroicheann paicéad ar aghaidh an chomhéadain LAN agus déanann an cód ródaithe meastóireacht ar an liosta rialacha in ord tosaíochta. Ainmníonn an chéad riail a bhfuil a roghnóir ag teacht léi tábla, agus roghnaíonn róid an tábla sin an gléas aschuir. Mura bhfuil aon ród chomhoiriúnach sa tábla, leanann an cuardach ar aghaidh chuig an gcéad riail eile, agus is é an mhionsonra sin a fhágann go dteipeann ar shocrú leathchríochnaithe go ciúin seachas go hard.

Níl aon ghuth ag an bpróiseas tolláin sa tsiúl sin. Cruthaíonn sé comhéadan agus is féidir leis róid a shuiteáil, ach braitheann sé go hiomlán ar an tábla ar seoladh chuige an dtéann paicéad cliaint áirithe isteach sa chomhéadan sin. Mar sin bíonn dhá thollán a bhfuil róid iompórtáilte chomhionanna acu in iomaíocht, agus buaíonn an scríbhneoir deireanach do gach duine. Sin an fáth a bhféadfadh socrú breathnú cothrom sna comhaid chumraíochta agus fós gach cliant a sheoladh trí aon dheamhan amháin.

Tabhair a thacar acmhainní féin do gach cás

Tosaigh le hainmneacha, mar is é ainmneacha athúsáidte an bealach a dtéann an dá chás i bpáirt ar staid de thaisme. Sann gléasanna tolláin ar leith, comhaid chumraíochta ar leith, dintiúir ar leith agus aonaid seirbhíse ar leith. Taifead críochphointe seachtrach agus seoladh tolláin gach cáis sa tábla céanna leis an maitrís polasaí, ionas go mbeidh aon áit amháin le féachaint air ag athrú níos déanaí.

dev tun-office
route-nopull
pull-filter ignore "redirect-gateway"

dev tun-lab
route-nopull

route-nopull coinníonn róid a bhrúnn freastalaí amach as an tábla áitiúil, rud is mian leat nuair atá na táblaí polasaí le bheith sainráite. Féach sa lámhleabhar seachas glacadh leis, an mbrúnn freastalaí áirithe rogha redirect-gateway freisin agus an dtacaíonn do leagan cliaint leis an bhfoirm scagaire.

Scríobh an mhaitrís: foinse, tábla, gléas

Do gach grúpa cliant, cuir riail leis a roghnaíonn tábla de réir seoladh foinse, ansin cuir an cosán beartaithe sa tábla sin:

ip rule add from 10.8.1.0/24 lookup 100 priority 1000
ip rule add from 10.9.1.0/24 lookup 200 priority 1000
ip route add default dev tun-office table 100
ip route add default dev tun-lab table 200

Teastaíonn róid chinn scríbe ón tábla ar cheart a bheith ag an ngrúpa, móide aon eisceachtaí áitiúla nó bainistíochta a choinníonn an geata inúsáidte. Is polasaí tolláin iomláin don ghrúpa sin tábla nach bhfuil ann ach ród réamhshocraithe, rud a d’fhéadfadh a bheith go díreach ceart, ach ba cheart gur cinneadh é seachas faillí.

Níl iompar an tolláin féin i ngrúpa cliant

Eascraíonn paicéid chriptithe gach deamhain ar an ngeata féin, dírithe ar an bpiara seachtrach. Fágann riail nach dtagann léi ach réimír foinse cliaint na paicéid sin i bhfad, agus is é sin an fáth a bhfuil rialacha atá teoranta don fhoinse níos sábháilte ná rialacha a thagann le gach rud. Is féidir le riail gan roghnóir iompar an tolláin féin a ghabháil agus é a chur ar ais trí thollán, agus ansin teipeann ar an gceangal ar bhealach a fhéachann le fadhb soláthraí.

Coinnigh an seisiún bainistíochta áitiúil agus cosán an fhor-tsraithe go sainráite taobh amuigh de na táblaí polasaí. Scríobh na heisceachtaí sin in aice leis an maitrís; is cuid den dearadh iad, ní réiteach gearrthéarmach atá le hathaimsiú le linn teagmhais.

Ní cheadaíonn roghnú cosáin é

Is é an cead chun ar aghaidh a chur an dara cinneadh a dhéantar níos déanaí sa chosán. Ní chuireann riail balla dóiteáin a ghlacann le paicéid a fhágann tríd an dara tollán ar an gcód ródaithe é a roghnú, agus ní thugann tábla ceart cead chun ar aghaidh a chur. Caithfidh an dá rud a bheith ann, agus cuirfidh tástáil nach gcruthaíonn ach ceann amháin díobh amú thú faoin gceann eile. Nuair a oibríonn grúpa amháin agus nach n-oibríonn an ceann eile, seiceáil an dá chéim sin ar leithligh seachas na táblaí a athscríobh.

Is é aistriú foinse an tríú cinneadh, agus ba cheart é a theorannú don ghrúpa foinse agus don ghléas tolláin a iompraíonn go hiarbhír é. Cuir slabhra tiomnaithe leis don dá chás seachas an slabhra postrouting a shrutha, mar d’fhéadfadh iontrálacha a bheith ag seirbhísí neamhghaolmhara ann agus baineann sruthú amach go ciúin iad.

Cad a tharlaíonn nuair a thiteann tollán amháin

Socraigh an t-iompar teipe roimh ré. Nuair a chailleann tábla tolláin a ród, titeann an cuardach tríd chuig an gcéad riail eile, agus leanann trácht an ghrúpa tríd an tollán eile nó an t-uachtarbhealach rialta gan aon earráid. Mura bhfuil sé sin inghlactha, cuir riail chríochnaitheach le huimhir tosaíochta níos ísle a thugann toradh doshroichte don fhoinse sin, ionas go mbeidh an chaillteanas le feiceáil seachas a bheith ionsúite.

Seol iarratas úr ó gach grúpa foinse agus taifead ceithre fhíric: an tábla a roghnaíodh, an gléas aschuir, an fhoinse aistrithe agus ar tháinig an freagra ar ais tríd an gcosán céanna. Ansin tarraing tollán amháin síos agus déan arís. Cruthaíonn dhá ghléas TUN i liosta comhéadan gur thosaigh an dá dheamhan; ní deir siad aon rud faoi cén ceann a d’úsáid cliant áirithe. Is é an dara rith, le tollán amháin ar iarraidh, an ceann a thaispeánann an ndéanann do riail chúltaca an rud a bhí beartaithe agat.