Einn OpenVPN-hnútur, þrjú LAN: netfangakerfi og iroute-skrár

Þrjú einkamáta LAN geta hist á einum hnút án þess að nokkur staður þurfi að þekkja innra skipulag annarra, og öll hönnunin hvílir á fjórum stuttum stillingarákvörðunum. Það sem lætur hana virka er ekki framandi eiginleiki í samskiptareglum heldur netfangakerfi sem enginn þarf að giska á, ásamt leiðum fyrir hvern biðlara sem segja hnútnum hvaða grein á hvaða forskeyti. Ef annað hvort er rangt koma göngin samt upp, og einmitt það gerir bilunina ruglingslega.

Farðu í gegnum skrefin í réttri röð. Hvert þeirra byggir á áætluninni frá skrefinu á undan, og ekkert þeirra krefst nýrrar vottunarstöðvar.

Byrjaðu á áætlun sem enginn þarf að giska á

Skrifaðu niður fjögur aðskilin forskeyti áður en þú snertir stillingarskrá: eigið LAN hnútsins, LAN hverrar greinar og þann hóp sem farandbiðlarar fá. Aðskilnaðurinn er það sem heldur öllu öðru einföldu, því skarast svið gera leiðsögn að þrautum um lengsta samanburð sem engin stilling fyrir hvern biðlara lagar. Staðfestu síðan hvaða vél er sjálfgefna gátt hvers LAN, því greinarleiðari sem er ekki gátt síns LAN þarf að setja fjarlægu leiðirnar upp á allt öðrum stað. Að lokum skaltu festa hin auðkenndu nöfn sem greina hverja grein, því þau nöfn eru lyklarnir sem skrárnar fyrir hvern biðlara eru flett upp með.

Dæmigerð áætlun heldur hópnum vel frá hinum þremur LAN-unum. Þín verður öðruvísi, og eina harða reglan er að engin tvö svið skarast.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

Segðu kjarna hnútsins hvar greinarnar eru

Hnúturinn þarf tvær upplýsingar fyrir hverja grein: kjarnaleið sem sendir forskeytið inn í göngutækið og færslu iroute sem segir OpenVPN-ferlinu hvaða biðlari á hana. Kjarnaleiðin ein og sér skilar pakkana inn í göngin og stöðvast þar, því dæmoninn verður enn að ákveða hvaða jafningi eigi að taka við þeim. Færslan iroute ein og sér skilur pakkana eftir í kjarnanum án leiðar að fylgja. Báðar línurnar eiga heima í stillingunni sem dæmoninn hleður í raun, og það er vert að staðfesta áður en eitthvað annað er kembt.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Hafðu client-to-client óvirkt þegar kjarninn á að vera sá staður þar sem reglunum er framfylgt. Sá valkostur sendir umferð milli jafningja inni í dæmonnum, sem er þægilegt og þýðir líka að framsendingarreglurnar þínar sjá flæðið aldrei. Allt hér á eftir gerir ráð fyrir að kjarninn sjái hvern einasta pakka milli greina.

Gefðu hverri grein þær leiðir sem hún þarf

Hver grein þarf leiðir að hinum greinunum og að LAN hnútsins, en þarf ekki leið að sínu eigin tengda LANi. Ýttu fjarlægu forskeytunum frá hnútnum í stað þess að líma þau inn í hvern leiðara, þannig að fjórði staðurinn síðar þýði eina nýja skrá fyrir hvern biðlara í stað fjögurra breytinga. Skráin fyrir hvern biðlara ber líka línuna iroute, sem heldur eignarhaldi og tilkynningu á sama stað. Láttu möppuna og skrárnar í henni vera læsilegar undir réttindalíkani þjónsins, annars mistekst flettingin án skilaboða.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Fjórði staðurinn fylgir sama mynstri: sérstakt auðkennt nafn, eigið forskeyti, kjarnaleið á hnútnum, færsla iroute og tilkynningar aðeins til þeirra staða sem mega ná til hans.

Prófaðu í báðar áttir áður en þú segir þessu lokið

Kveiktu á IPv4-framsendingu á öllum þremur leiðurunum og staðfestu síðan að eldveggurinn leyfi fyrirhuguðu flæðin í báðar áttir, því einátta próf standast með brotinni póstleið oftar en nokkur búist við. Engin þýðing á upprunafangi þarf milli staða, og það að varðveita upprunann er einmitt það sem lætur hverja grein beita eigin stefnu á beiðni.

Prófaðu frá hýsli á einu greinar-LANi á þjónustu á öðru, snúðu síðan við stefnunni og prófaðu loks frá grein að LANi hnútsins. Þessar þrjár niðurstöður eru mismunandi sönnunargögn, og engin þeirra felur í sér hinar. Ef greinarleiðari er ekki sjálfgefna gátt síns LANs skaltu setja fjarlægu forskeytin á raunverulegu gáttina og hafa hópinn með þegar biðlarar í göngunum þurfa að hefja tengingar inn í það LAN.

Skráðu áætlunina, skrárnar fyrir hvern biðlara og eldveggsreglurnar sem eitt skjal, því næsta viðbót við stað verður dæmd út frá þeim.

Hönnunin heldur saman því hvert lag hefur eitt hlutverk: áætlunin heldur forskeytunum einstökum, kjarnaleiðin flytur pakka, iroute nefnir eigandann og eldveggurinn ákveður hvað er leyft. Þegar eitthvað bilar er sú listi líka röðin sem á að fara yfir.