Dua klien OpenVPN di satu host Linux: siapa pemilik rute?

Kedua profil melaporkan terhubung dan salah satunya diam-diam membawa lalu lintas yang ditujukan untuk yang lain. Dua klien di satu host adalah susunan yang didukung; dua klien tanpa pemilik untuk setiap prefiks bukan. Pekerjaannya lebih sedikit soal menaikkan tunnel kedua dan lebih banyak soal memutuskan proses mana yang boleh mengklaim rute mana. Ikuti urutan di bawah dan konfigurasinya mengikuti dari jawabannya.

Mulailah dengan bertanya untuk apa tunnel kedua

Tiga situasi tampak identik di baris status dan membutuhkan rancangan berbeda. Pemisahan tujuan mengirim satu prefiks lewat profil kantor dan yang lain lewat profil laboratorium, tanpa keduanya mengklaim rute bawaan. Pemisahan per aplikasi biasanya mempertahankan satu tunnel penuh dan mengarahkan lalu lintas tertentu dengan aturan kebijakan. Failover menjaga tepat satu tunnel aktif pada satu waktu, yang berarti yang kedua tidak boleh mulai otomatis.

Tuliskan kasusnya sebelum membuka file konfigurasi apa pun, karena jawaban itu menentukan semua yang berikutnya.

Susunan rusak yang paling umum adalah dua tunnel penuh yang keduanya mendorong rute bawaan, di mana yang terhubung terakhir menang dan yang pertama terus berpura-pura. Keadaan itu tampak disengaja dari baris status dan membuang satu hari dari tabel perutean. Menamai kasusnya lebih dulu membuatnya mustahil, bukan sekadar tidak mungkin.

Lihat pool sebelum rute

Dua server dapat dengan mudah membagikan alamat dari satu rentang privat, dan ketika mereka melakukannya, klien berakhir dengan dua antarmuka di dalam satu prefiks. Tidak ada tujuan yang lalu dapat dikaitkan ke antarmuka berdasarkan alamat, karena keduanya tampak sama benarnya. Nomori ulang satu pool daripada mengarang aturan untuk memecah seri.

Periksa juga jaringan lokal, karena LAN rumah atau kantor yang tumpang tindih dengan rentang tunnel menciptakan ambiguitas yang sama dari sisi lain. Bandingkan alamat di host dengan kedua konfigurasi server sebelum menyalahkan klien. Perubahan pool di server laboratorium adalah perbaikan lima menit, sedangkan jalan pintas perutean kebijakan untuk prefiks yang tumpang tindih adalah pajak permanen bagi siapa pun yang membaca konfigurasi nanti. Putuskan mana yang Anda inginkan sebelum memilih di mana campur tangan.

Dua keluarga alamat berarti dua putaran pemeriksaan ini. Pool IPv6 bertabrakan sama diamnya dengan IPv4.

Beri setiap profil seorang pemilik

Satu instans per profil, satu file konfigurasi per instans, dan satu nama yang mengidentifikasi pasangan itu. Dalam pengemasan gaya Debian, nama setelah tanda @ memilih file, karena itu dua profil yang berbagi nama instans tidak akan pernah bisa keduanya bekerja. Pastikan pemetaannya dari unit yang terpasang, bukan dari tutorial.

systemctl cat [email protected]
ip -4 addr show

Lalu putuskan siapa yang memasang rute, yang merupakan pertanyaan kebijakan, bukan sintaksis.

Ketika kedua server mendorong kumpulan yang tidak kompatibel, entah tambahkan route-nopull dan daftarkan hanya prefiks yang dibutuhkan setiap profil, atau biarkan satu mempertahankan rute bawaannya dan arahkan sisanya dengan aturan kebijakan. Dua proses yang keduanya memasang rute bawaan berakhir dengan satu pemenang dan tidak ada yang bisa mengatakan mengapa. Begitu kedua tunnel membawa lalu lintas untuk sumber berbeda, balasan bisa keluar lewat tunnel yang salah, dan pola yang bertahan adalah tanda koneksi yang dipulihkan pada balasan dan diarahkan ke tabelnya sendiri. Batasi tanda itu agar paket terenkripsi milik tunnel sendiri tidak pernah cocok dengannya.

Verifikasi per tunnel, lalu hentikan satu

Ketika keduanya aktif, ambil tiga pembacaan: alamat di setiap perangkat tunnel, rute ke host yang berada di belakang masing-masing, dan jalur yang akan diambil tujuan di luar keduanya. Daftar rute biasa berhenti menjelaskan pencarian akhir begitu aturan masuk permainan, jadi tanyakan kepada kernel apa yang sebenarnya akan dipilihnya. Lalu hentikan satu instans dan lihat apa yang hilang. Jika menghentikan yang pertama mengganggu yang kedua, masih ada sesuatu yang dibagi di antara keduanya: rute, nama perangkat, atau aturan firewall yang tidak dipisahkan siapa pun.

ip rule show
ip route get 203.0.113.9

Bawa kembali profil yang dihentikan dan ulangi pemeriksaan yang sama, karena tunnel yang bekerja sekali setelah reboot dan tidak pernah lagi adalah bug siklus hidup yang memakai kostum perutean.

Catat di catatan penerapan profil mana yang memiliki prefiks mana, di samping rentang pool. Dua tunnel adalah susunan yang disengaja, dan pembaca berikutnya perlu melihat batasnya sebelum menyentuh salah satu profil. Tanpa catatan itu, batasnya ditemukan ulang oleh siapa pun yang sedang jaga ketika prefiks bersama akhirnya rusak.