Kinek kellene birtokolnia az útvonalakat és a DNS-t, amikor az openfortivpn csatlakozik?

Egy működő openfortivpn-munkamenetben négy szakasz épül egymásra. Az ügyfél hitelesíti magát az átjárónál és elindít egy TLS-kapcsolatot, majd PPP-t futtat azon a kapcsolaton belül, majd címet és DNS-információt kap, végül alkalmazza a gazdagép-útvonalakat és a feloldó beállításait. Minden szakasz élhet, miközben a következő nem, és ezért olyan csúszós szó a „csatlakozva” a támogatási szálakban.

A legtöbb zavart megszüntető döntés az, hogy ki birtokolja az utolsó szakaszt. Vagy a VPN-ügyfél maga alkalmazza a gazdagép módosításait, vagy egy másik komponens teszi, és a kettő félig-meddig keverése az, ahogy az útvonalak és a feloldó fájlok végül különböző munkameneteket írnak le.

Négy szakasz, amely egy kapcsolatnak látszik

Az első szakasz a belépés. egy elnevezett hitelesítési tartomány vagy egyszeri kód révén, és megkapja a folytatáshoz szükséges paramétereket. Amikor az ügyfél kiírja, hogy csatlakozott az átjáróhoz, az azt jelenti, hogy a TLS-szállítás él. Ez nem jelenti azt, hogy a PPP tárgyalt, és biztosan nem jelenti azt, hogy egy belső alkalmazás elérhető.

A második szakasz a PPP-kapcsolat. Az ügyfél PPP-folyamatot indít az alagút-eszköz ellen, és a két fél megtárgyalja a kapcsolat beállításait és a címeket. Csak ezután tudja a gazdagép, hogy a munkamenet mely helyi és távoli címeket használja, és csak akkor van értelme az alagútba mutató útvonalnak.

A harmadik szakasz ezen információk alkalmazása a gazdagépre, és itt számít a birtoklás. Az ügyfél hozzáadhatja az útvonalakat és átírhatja a feloldó konfigurációját, vagy utasítható arra, hogy vonuljon vissza, és hagyja mindkettőt arra, ami egyébként a hálózatot kezeli azon a gépen. A projekt README fájlja ezeket külön felelősségekként írja le, nem egyetlen automatikus viselkedésként.

Ki szerkeszti az útválasztási táblázatot

Alapértelmezés szerint az ügyfél a tulajdonos. Hozzáad egy útvonalat az átjáró felé a fizikai interfészen keresztül, egy útvonalat az alagút partnerének, és útvonalakat azokhoz a hálózatokhoz, amelyeket a munkamenet használhat, majd eltávolítja őket, amikor a folyamat kilép. Ez az alapértelmezés kényelmes egyetlen hálózatkezelővel rendelkező és más VPN-szoftver nélküli laptopon.

Csak akkor válassza az átadást, ha valami más valóban birtokolja az útválasztást. Egy hálózatkezelő-integráció, egy konténer hálózati névtere vagy egy telephely-szintű útválasztási ügynök már tudhatja, hogyan kell ugyanazokat az előtagokat telepíteni és tisztítani. A no-routes opció átadása ekkor megakadályozza, hogy két író ugyanazon táblázatért harcoljon, ami olyan verseny, amely egy alhálózat időszakos elvesztéseként jelenik meg, nem pedig tiszta hibaként.

Az átfedés a második ok az átadásra. Ha a leküldött útvonalak tartalmaznak egy előtagot, amelyet a helyi hálózat már használ, az ügyfél nem tudja megoldani a konfliktust Ön helyett. Valakinek el kell döntenie, hogy az az előtag az alagúton, a fizikai kapcsolaton vagy egy konkrétabb útvonalon keresztül érhető el, és ez a döntés a topológia birtokosáé.

A tisztítás a harmadik. Az az ügyfél, amely összeomlik, mielőtt eltávolítaná az útvonalait, fekete lyukat hagy maga után, amely túléli a munkamenetet, és a következő kapcsolat duplikátumot tehet rá. Aki birtokolja az útválasztást, az birtokolja annak ellenőrzését is, hogy a régi bejegyzések eltűntek. Tegye ezt az ellenőrzést az indítási útvonal részévé, ne opcionális tisztítási lépéssé.

Ki birtokolja a DNS-t és a feloldó fájlt

A DNS ugyanaz a döntés élesebb élekkel. Az ügyfél elfogadhatja az átjáró vagy a PPP-partner által jelentett DNS-kiszolgálókat, és beírhatja őket a gazdagép feloldó konfigurációjába. Egy egyszerű gépen pontosan ezt szeretné, mert a belső nevek akkor csak addig oldódnak fel, amíg az alagút él.

Egy modern Linux-gazdagépen a feloldót egy helyi stub kezelheti, és a feloldó fájl annak a stubnak a háta mögötti átírása olyan konfigurációt eredményez, amely helyesnek látszik és következetlenül viselkedik. Ha a gazdagép már futtat feloldókezelőt, hagyja, hogy az birtokolja a DNS-t, és táplálja az alagút kiszolgálóival a támogatott felületén keresztül. Az ügyfél no-dns opciója ott a helyes választás, nem kerülő megoldás.

A felosztott DNS külön kérdés attól, hogy ki írja a fájlt. Minden lekérdezés alagúton keresztüli küldése egyszerű és lassú; csak a belső zónák küldése rajta keresztül tartományonkénti konfigurációt igényel, amelyet a legtöbb egyszerű ügyfél nem kínál. Döntse el, milyen viselkedésre van szüksége a gazdagépnek, mielőtt engedélyezné az ügyfél feloldóváltozásait. Egy rossz választás itt névfeloldási kiesésnek tűnik, még akkor is, ha maga az alagút rendben van.

Jogosultság, készenlét és az átadás

Az alagút-eszköz létrehozása és a gazdagép-útvonalak vagy a feloldó állapotának szerkesztése emelt hálózati jogosultságot igényel. A gyakori hiba azt a következtetést levonni, hogy ezért mindennek rootként kell futnia, beleértve a böngészőt vagy az alagutat használó alkalmazást. Tartsa kicsiben a jogosult részt: az ügyfél és a konfigurációs fájlja, egy rendszergazda tulajdonában, miközben a felhasználói alkalmazások megtartják szokásos fiókjukat.

A készenlétet fogyasztónként kell meghatározni. Egy felügyelő akkor tekintheti a szolgáltatást elindultnak, amikor az ügyfélfolyamat fut és az alagút-eszköz létezik. Egy biztonsági mentési feladatnak csak akkor kell a VPN-t használhatónak tekintenie, amikor a tárolási végpontja az alagúton keresztül válaszol. Ezek különböző ellenőrzések, és a gyengébbet erősebb célra használni olyan feladatokat eredményez, amelyek túl korán indulnak és időszakosan meghiúsulnak. Írja le a választott meghatározást, mert a készenlétről egyet nem értő felügyelő és feladat egy támogatási jegy, amely csak vár, hogy megtörténjen.

Tesztelje a szerződést négy megfigyeléssel: az átjáró szakasz befejeződik, a PPP címeket oszt ki, a szándékolt útvonal jelen van, és egy belső gazdagépre küldött kérés sikeres. Ezután állítsa le az ügyfelet, és erősítse meg, hogy ezek mindegyike eltávolításra vagy helyreállításra került. Ha a gazdagép az alagút bezárása után is feloldja a belső neveket, vagy még mindig tart egy útvonalat, a birtoklás átadása hiányos.