Dhá thollán OpenVPN ar aon óstach Linux amháin: cé leis an bealach?

Tá dhá phróifíl ceangailte, agus tá ceann acu ag iompar tráchta go ciúin atá i gceist don cheann eile. Is féidir le hóstach Linux an dá chliant OpenVPN a rith ag an am céanna gan deacracht. Rud nach féidir leis a dhéanamh ná a chinneadh ar do shon cé acu próiseas a bhfuil sé de cheart aige réimír ar leith a éileamh. Caithfear an cinneadh sin a dhéanamh sula dtagann an dara tollán aníos, ní tar éis do acmhainn stopadh de bheith ag freagairt.

Tosaigh ón obair a chaithfidh an dara nasc a dhéanamh

Teastaíonn ó oifig atá inrochtana trí phróifíl amháin agus ó shaotharlann atá inrochtana trí phróifíl eile an dá thollán a bheith aníos agus gan ceachtar acu ag éileamh gach rud. Teastaíonn riail bheartais ó aon fheidhmchlár stuacach amháin a chaithfidh imeacht tríd an dara próifíl, seachas dara bealach réamhshocraithe. Níl ag teastáil ó nasc cúltaca ach tollán amháin ag rith ag an am, mar sin níor chóir don chúltaca tosú leis an meaisín.

Is trí chumraíocht dhifriúla iad sin, agus déantar iad a mheascadh toisc go dtosaíonn an triúr ar an mbealach céanna: dara próifíl agus nasc rathúil. Scríobh an socrú beartaithe síos ar dtús, ansin cumraigh ina threo. Sábhálann aon abairt amháin maidir le hintinn uair an chloig de ghabháil paicéad.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Liostaíonn an chéad ordú na cásanna atá ag rith, lena n-áirítear aon cheann a tosaíodh de láimh lasmuigh den bhainisteoir. Priontálann an dara ceann an t-éileamh réamhshocraithe reatha, arb é an staid a bheidh ort a mhíniú níos déanaí.

Briseann linnte forluiteacha sula ndéanann ródú amhlaidh

Sannfaidh dhá fhreastalaí seoltaí ón 10.8.0.0/24 céanna go sásta. Ansin coinníonn an cliant dhá chomhéadan laistigh d'aon réimír amháin gan aon rud a deir cé acu ceann is le cé acu ceann, agus féachann an t-iompar a thagann as sin le locht ródaithe ach is locht uimhrithe atá ann i ndáiríre. Cosnaíonn athuimhriú linne aon eagarthóireacht chumraíochta amháin; cosnaíonn gach seachbhóthar ródaithe ina dhiaidh sin deireadh seachtaine. Seiceáil an linne sula gcuireann tú bealach leis.

Féach ar an LAN áitiúil freisin. Cruthaíonn LAN baile uimhrithe 192.168.1.0/24 a nochtann tollán amháin freisin an déchiall chéanna, agus is é an tsiomptóm ainm óstaigh a réitítear fad a bhíonn an nasc riamh ag críochnú. Breathnaíonn sé sin cosúil le locht réitithe ainmneacha go dtí go gcuireann tú na bealaí i gcló.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Cuir an dá aschur i gcomparáid leis an dá chumraíocht freastalaí sula dtéann tú i dteagmháil leis an cliant. Má fhorluíonn na réimíreanna, stop agus athuimhrigh, mar ní dhealóidh aon mhéid atosaithe iad.

Tabhair aonad féin do gach próifíl agus úinéir do gach réimír

Faigheann gach próifíl a ainm cásanna féin agus a comhad cumraíochta féin, mar sin lódálann an chás darb ainm office an comhad office.conf agus lódálann an ceann darb ainm lab an comhad lab.conf. Deimhnigh an mhapáil sin trí bhainisteoir na seirbhíse seachas brath ar liosta eolaire, ós rud é gur féidir le drop-in an comhad a lódáiltear a athrú. Má dhéantar an mhapáil a mheascadh, tá tú ag tiúnadh na próifíle nach bhfuil ag rith.

Ansin socraigh cé a shuiteálann bealaí. Nuair a bhrúnn na freastalaithe tacair neamh-chomhoiriúnacha, buailtear diúltú don bhrú agus liostaigh na réimíreanna tú féin, nó fág próifíl amháin leis an réamhshocrú agus stiúir an ceann eile le rialacha beartais. Críochnaíonn dhá phróiseas a shuiteálann réamhshocrú araon le buaiteoir ciúin agus gan taifead scríofa ar an gcinneadh.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Taispeánann an chéad cheann an aonad le haon sárú a athraíonn a argóintí. Taispeánann an dara ceann an nglacann an phróifíl le bealaí brúite ar chor ar bith, agus sin an lasc a chinneann gach rud ina dhiaidh.

Coinníonn marcanna freagraí ar an gcomhéadan ar tháinig siad uaidh

Nuair a fhreastalaíonn gach tollán ar fhoinsí éagsúla, is féidir le freagra imeacht tríd an nasc mícheart agus faigheann an nasc bás tar éis an chéad phaicéad. Is é an patrún a sheasann ná paicéid atá ag teacht a mharcáil de réir comhéadan ionchuir, an marc sin a athchóiriú ar an bhfreagra, agus tábla a thabhairt do gach marc lena gheata réamhshocraithe féin.

De ghnáth caithfear scagadh fuar bealaigh droim ar ais a mhaolú do na comhéadain lena mbaineann, toisc go dtagann freagra go dlisteanach trí nasc nár roghnaíodh an príomhthábla riamh. Coinnigh na marcanna cúng ionas nach ngabhfaidh siad trácht criptithe na dtollán féin riamh, rud a sheolfadh an tollán tríd féin.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Léigh na rialacha reatha sula gcuireann tú ceann eile leis. Is iad tosaíochtaí dúbailte agus táblaí dearmadta an chúis is gnách go mbíonn cuma ar bheartas marc gan aon éifeacht ar chor ar bith.

Cruthaigh aonrú trí nasc amháin a stopadh

Agus an dá thollán aníos, taifead seoladh gach comhéadain, an bealach chuig aon óstach amháin taobh thiar de gach tollán, agus an cosán a thógann ceann scríbe neamhghaolmhar. Iarr an chuardach ar an eithne seachas tábla amháin a léamh, mar ní thaispeánann aon tábla amháin an cinneadh deiridh riamh.

Ansin stop cás amháin agus féach ar a comhéadan agus a bealaí ag imeacht agus an ceann eile ag leanúint ar aghaidh. Ciallaíonn briseadh sa cheann a mhaireann go bhfuil an dá cheann fós ag roinnt ainm feiste, bealaigh nó riail balla dóiteáin nár dhealaigh aon duine.

Tabhair an phróifíl stoptha ar ais agus déan na seiceálacha céanna arís. Nuair nach maireann tollán ach an chéad tosú tar éis atosú, tá locht saolré á fheiceáil agat seachas dearadh ródaithe.