Ո՞վ է տիրապետում հասցեին, երթուղուն, DNS-ին և ֆայրվոլին Linux VPN-ում։

Նույն երթուղու համար պայքարող երկու սկրիպտները Linux VPN-ի խնդրի սովորական ձևն են, որը գրանցվում է որպես երթուղային սխալ։ Մեկ բաղադրիչ ստեղծում է թունելի սարքը, մյուսը ավելացնում է լռելյայն երթուղի, երրորդը վերագրում է լուծիչի կազմաձևը, իսկ չորրորդը վերաբեռնում է ֆայրվոլի կանոնները։ Նրանցից ցանկացածը կարող է չեղարկել մյուսի աշխատանքը, և հաղթողը պարզապես վերջին գործարկվածն է։ Պատասխանելու արժանի հարցը ոչ թե այն է, թե որ փաթեթը տեղադրել, այլ այն, թե որ բաղադրիչն է լիազորված վիճակի յուրաքանչյուր մասի համար։

Գրեք այդ քարտեզը մեկ անգամ, և վերամիացման ձախողումների մեծ մասը կդադարի առեղծվածային լինելուց։ Կարևոր են չորս օբյեկտներ՝ սարքը և նրա հասցեները, երթուղիները և քաղաքականության կանոնները, DNS-ի կազմաձևը և ֆայրվոլը։

Սարքը և նրա հասցեները

Թունելի սարքը ստեղծվում է կա՛մ պրոֆիլը իմացող կառավարչի կողմից, կա՛մ ձեռքով գործարկված դեմոնի կողմից։ Երկու կարգավորումներն էլ աշխատում են ինքնուրույն. դրանք խառնելը՝ ոչ։ Եթե պրոֆիլը պատկանում է NetworkManager-ին, թող այն տիրի նաև սարքին, և չկառավարվող OpenVPN գործընթաց մի սկսեք նույն թունելի անվան դեմ։

Գրանցեք, թե ով է հեռացնում սարքը, երբ ավարտվում է նստաշրջանը։ Սարքը, որն ապրում է իր նստաշրջանից ավելի, հնացած հասցեների և դրանց հետևող շփոթության ամենատարածված աղբյուրն է։

Երթուղիներ և քաղաքականության կանոններ

Հենց երթուղիներում են սեփականության հակասությունները տեսանելի վնաս հասցնում։ Միացման կառավարիչը թունելի համար տեղադրում է լռելյայն երթուղի և ավելի կոնկրետ երթուղի հեռավոր ցանցի համար՝ այնուհետև ձեռքով գրված սկրիպտը ավելացնում է իր լռելյայն երթուղին այլ մետրիկայով և հանգիստ հաղթում կամ պարտվում՝ կախված ժամանակից։ Որոշեք, թե որ գրառումներն են կապված միացմանը, որոնք՝ մշտական քաղաքականություն, և որ բաղադրիչն է թարմացնում դրանք վերամիացումից հետո։ Այնուհետև մյուս բաղադրիչներին հեռու պահեք այդ աղյուսակից։

Քաղաքականության կանոնները նույն պարզության կարիքն ունեն, որովհետև աղյուսակի վրա ցույց տվող կանոնը, որը ոչ ոք չի լրացնում, ստեղծում է սև խորշ, որը ճիշտ նման է մեռած թունելի։ Եթե կանոնը գոյություն ունի, որպեսզի երթևեկությունը ինչ-որ տեղ մղի, ապա այն աղյուսակը, որը նա ընտրում է, պետք է պահպանվի նույն սեփականատիրոջ կողմից։

DNS-ը միշտ առանձին սեփականատեր է

Լուծիչի դեմոնն աշխատում է որպես իր սեփական գործընթաց՝ իր ինքնությամբ, ուստի այն պատահաբար չի ժառանգում թունելի երթուղային որոշումները։ Երբ VPN-ը մղում է DNS սերվերներ, ինչ-որ բան պետք է դա թարգմանի յուրաքանչյուր կապի կազմաձևի, որը լուծիչը հարգում է, և ինչ-որ բան պետք է հետո հեռացնի այն։

Այստեղ առասպելն այն է, թե պրոֆիլում անվանասերվեր գրելը փոխում է, թե ուր են գնում հարցումները։ Այն փոխում է, թե ինչ է ասվում լուծիչին, ոչ թե, թե որ բնիկն է լուծիչը օգտագործում վերևում։ Փորձարկեք հարցումով և երթուղու որոնմամբ՝ ֆայլին վստահելու փոխարեն։

Ֆայրվոլի վիճակը, և ով է վերականգնում այն

Ֆայրվոլի կանոնները VPN հոսթում ամենահաճախ վերագրվող օբյեկտն են։ Կառավարիչը կարող է յուրաքանչյուր միացման համար ավելացնել NAT կամ փոխանցման կանոններ, մինչդեռ բեռնման ժամանակ ֆայրվոլի ծառայությունը վերաբեռնում է պահված կանոնների հավաքածուն և ջնջում դրանք։ Ընտրեք մեկ լիազորություն քաղաքականության համար և մյուսին դարձրեք դրա սպառող, կամ ընդունեք, որ վերագործարկումը հանգիստ փոխում է վարքը։ Միացմանը կապված բացառությունները պատկանում են այն ֆայլին, որը բեռնում է նույն սեփականատերը, ոչ թե վերանորոգման ընթացքում մուտքագրված iptables հրահանգին։

Եթե կանոնները պետք է վերապրեն վերամիացումը, ասացեք դա բացահայտ։ Եթե ոչ, ասացեք նաև դա, որովհետև հաջորդ ինժեները կենթադրի ավելի հարմար պատասխանը։

Կյանքի ցիկլ. բեռնում, վերամիացում, ապամոնտաժում

Այդ երեք պահերից յուրաքանչյուրին տվեք սեփականատեր։ Բեռնման ժամանակ որոշեք, թե ինչն է նախապայմանները պատրաստում և ինչ հերթականությամբ։ Փափուկ վերագործարկման ժամանակ հիշեք, որ սարքը կարող է գոյատևել, մինչդեռ նստաշրջանի վիճակը՝ ոչ, ուստի պետք է աշխատի վավերացնողը, ոչ թե ստեղծողը։ Ապամոնտաժման ժամանակ հեռացրեք միայն այն, ինչ ստեղծել է այս միացումը, որովհետև բոլոր երթուղիները վերականգնելը կամ ամբողջ ֆայրվոլը դատարկելը նույնը չէ, ինչ մեկ թունելը ծառայությունից հանելը։

Դիտարկման համար ip monitor link address route ցույց է տալիս միջուկի փոփոխությունները, երբ դրանք տեղի են ունենում, բայց հաղորդում է իրադարձություններ, ոչ թե մտադրություն. ջնջված երթուղին ոչինչ չի ասում այն մասին, թե որ գործընթացն է ջնջել այն։ Զուգակցեք այն սեփականության քարտեզի հետ, և շփոթեցնող անջատումը կդառնա թեկնածուների կարճ ցանկ։

Բացառություններն էլ ունեն իրենց գինը։ Սարքի ամբողջ դասը որպես չկառավարվող նշելը՝ հակասությունից խուսափելու համար, այդ վիճակը հանձնում է ոչ ոքի, ինչը որոշում է, ոչ թե ուղղում։