एक Linux होस्ट पर दो OpenVPN क्लाइंट: रूट किसका है?

दोनों प्रोफ़ाइल कनेक्टेड होने की सूचना देते हैं और उनमें से एक चुपचाप दूसरे के लिए निर्धारित ट्रैफ़िक ढो रहा है। एक होस्ट पर दो क्लाइंट समर्थित व्यवस्था है; हर प्रीफ़िक्स के लिए मालिक के बिना दो क्लाइंट नहीं। काम दूसरी टनल ऊपर उठाने से कम और यह तय करने से ज़्यादा है कि कौन सी प्रक्रिया किस रूट का दावा कर सकती है। नीचे दिए क्रम में चलें और कॉन्फ़िगरेशन जवाबों से निकल आएगा।

दूसरी टनल किस काम के लिए है, यह पूछकर शुरू करें

तीन स्थितियाँ स्टेटस लाइन पर एक जैसी दिखती हैं और अलग-अलग डिज़ाइन माँगती हैं। गंतव्य के अनुसार बँटवारा एक प्रीफ़िक्स को ऑफ़िस प्रोफ़ाइल से और दूसरे को लैब प्रोफ़ाइल से भेजता है, और इनमें से कोई डिफ़ॉल्ट रूट का दावा नहीं करता। एप्लिकेशन के अनुसार बँटवारा आम तौर पर एक पूरी टनल रखता है और ख़ास ट्रैफ़िक को नीति नियमों से मोड़ता है। फ़ेलओवर एक समय में ठीक एक टनल चालू रखता है, यानी दूसरी को अपने आप शुरू नहीं होना चाहिए।

कोई भी कॉन्फ़िगरेशन फ़ाइल खोलने से पहले मामला लिख लें, क्योंकि वही जवाब आगे का सब कुछ तय करता है।

सबसे आम टूटी व्यवस्था दो पूरी टनलें हैं जिन्होंने दोनों ने डिफ़ॉल्ट रूट धकेला है, जहाँ आख़िर में जुड़ने वाला जीतता है और पहला दिखावा करता रहता है। वह स्थिति स्टेटस लाइन से जानबूझकर की हुई लगती है और रूटिंग तालिका से एक दिन बर्बाद करती है। मामले को पहले नाम देना उसे असंभव बना देता है, केवल असंभाव्य नहीं।

रूट से पहले पूल देखें

दो सर्वर आसानी से एक निजी श्रेणी से पते बाँट सकते हैं, और जब ऐसा करते हैं तो क्लाइंट एक ही प्रीफ़िक्स के भीतर दो इंटरफ़ेस के साथ रह जाता है। तब पते के आधार पर किसी गंतव्य को इंटरफ़ेस से नहीं जोड़ा जा सकता, क्योंकि दोनों समान रूप से सही दिखते हैं। बराबरी तोड़ने के लिए नियम गढ़ने के बजाय एक पूल को फिर से क्रमांकित करें।

स्थानीय नेटवर्क भी जाँचें, क्योंकि टनल श्रेणी से टकराता घर या दफ़्तर का LAN दूसरी ओर से वही अस्पष्टता पैदा करता है। क्लाइंट को दोष देने से पहले होस्ट के पतों की दोनों सर्वर कॉन्फ़िगरेशनों से तुलना करें। लैब सर्वर पर पूल बदलना पाँच मिनट का सुधार है, जबकि टकराते प्रीफ़िक्स के लिए नीति-रूटिंग का बचाव रास्ता बाद में कॉन्फ़िगरेशन पढ़ने वाले हर व्यक्ति पर स्थायी कर है। कहाँ हस्तक्षेप करना है यह चुनने से पहले तय करें कि इन दोनों में से क्या चाहिए।

दो पता परिवार यानी इस जाँच के दो दौर। IPv6 पूल IPv4 की तरह ही चुपचाप टकराते हैं।

हर प्रोफ़ाइल को मालिक दें

हर प्रोफ़ाइल के लिए एक इंस्टेंस, हर इंस्टेंस के लिए एक कॉन्फ़िगरेशन फ़ाइल और जोड़ी की पहचान करने वाला एक नाम। Debian शैली की पैकेजिंग में @ चिह्न के बाद का नाम फ़ाइल चुनता है, इसीलिए एक ही इंस्टेंस नाम साझा करने वाली दो प्रोफ़ाइल कभी दोनों काम नहीं कर सकतीं। मैपिंग स्थापित यूनिट से पुष्टि करें, किसी ट्यूटोरियल से नहीं।

systemctl cat [email protected]
ip -4 addr show

फिर तय करें कि रूट कौन स्थापित करता है, जो नीति का सवाल है, वाक्य-रचना का नहीं।

जब दोनों सर्वर असंगत सेट धकेलें, तो या तो जोड़ेंroute-nopull और केवल वही प्रीफ़िक्स सूचीबद्ध करें जो हर प्रोफ़ाइल को चाहिए, या एक को उसका डिफ़ॉल्ट रूट रखने दें और बाक़ी को नीति नियम से मोड़ें। दो प्रक्रियाएँ जो दोनों डिफ़ॉल्ट रूट स्थापित करती हैं, एक ही विजेता के साथ समाप्त होती हैं और कोई नहीं बता सकता क्यों। जैसे ही दोनों टनल अलग-अलग स्रोतों का ट्रैफ़िक ढोती हैं, जवाब ग़लत टनल से बाहर जा सकता है, और जो पैटर्न टिकता है वह जवाबों पर बहाल और अपनी तालिका में मोड़ा गया कनेक्शन मार्क है। मार्क सीमित करें ताकि टनलों के अपने एन्क्रिप्टेड पैकेट कभी उनसे मेल न खाएँ।

हर टनल के लिए सत्यापित करें, फिर एक रोकें

जब दोनों ऊपर हों, तीन रीडिंग लें: हर टनल डिवाइस पर पता, हर एक के पीछे रहने वाले होस्ट तक रूट, और दोनों के बाहर के गंतव्य का रास्ता। सादी रूट सूची नियम आते ही अंतिम खोज का वर्णन करना बंद कर देती है, इसलिए कर्नेल से पूछें कि वह वास्तव में क्या चुनेगा। फिर एक इंस्टेंस रोकें और देखें क्या ग़ायब होता है। अगर पहली को रोकना दूसरी को बाधित करता है, तो उनके बीच कुछ अभी भी साझा है: एक रूट, एक डिवाइस नाम, या ऐसा फ़ायरवॉल नियम जिसे किसी ने अलग नहीं किया।

ip rule show
ip route get 203.0.113.9

रोकी गई प्रोफ़ाइल वापस लाएँ और वही जाँच दोहराएँ, क्योंकि रीबूट के बाद एक बार काम करने वाली और फिर कभी नहीं — ऐसी टनल रूटिंग की पोशाक में जीवनचक्र की गड़बड़ है।

परिनियोजन नोट में लिखें कि कौन सी प्रोफ़ाइल किस प्रीफ़िक्स की मालिक है, पूल श्रेणियों के बग़ल में। दो टनल जानबूझकर की गई व्यवस्था हैं, और अगले पाठक को कोई भी प्रोफ़ाइल छूने से पहले सीमा दिखनी चाहिए। उस नोट के बिना, साझा प्रीफ़िक्स के आख़िर में टूटने पर ड्यूटी पर मौजूद व्यक्ति सीमा फिर से खोजता है।