Tveir OpenVPN-biðlar á einni Linux-gátt: skiptu stefnunni

Tveir OpenVPN púkar geta báðir tilkynnt farsælt göng á meðan gáttin sendir hvern biðlara um sama. Ekkert í handabandinu ákveður hvaða göng biðlari notar; kjarninn ákveður, pakka fyrir pakka, með því að fara í gegnum stefnureglurnar og síðan töfluna sem hver regla nefnir. Þegar þannig er á það litið hættir stillingin að snúast um OpenVPN-valkosti og verður leiðavalstöflumatrix með tveimur eigendum.

Kjarninn ákveður, ekki púkinn

Framsendur pakki berst á LAN-viðmótið og leiðavalskóðinn metur reglulistann í forgangsröð. Fyrsta reglan sem valarinn passar við nefnir töflu, og leiðir þeirrar töflu velja útgangstækið. Ef taflan hefur enga samsvarandi leið heldur leitin áfram að næstu reglu, og einmitt þessi smáatriði gera það að verkum að hálfkláruð stilling bregst hljóðlega en ekki hávært.

Gönguferlið hefur ekkert að segja í þeirri för. Það býr til viðmót og getur sett upp leiðir, en hvort pakki tiltekins biðlara fer inn í það viðmót fer algjörlega eftir töflunni sem hann var sendur í. Þess vegna keppa tvö göng með eins innfluttar leiðir, og síðasti skrifandinn vinnur fyrir alla. Þess vegna getur stilling litið út fyrir að vera í jafnvægi í stillingaskránum og samt sent alla biðlara um einn púka.

Gefðu hverju eintaki sitt eigið auðlindasett

Byrjaðu á nöfnum, því endurnýtt nöfn eru leiðin sem tvö eintökin enda á að deila stöðu fyrir slysni. Úthlutaðu aðskildum göngutækjum, aðskildum stillingaskrám, aðskildum skilríkjum og aðskildum þjónustueiningum. Skráðu ytra endapunkt og göngufang hvers eintaks í sömu töflu og stefnumatrixið, svo síðari breyting hafi einn stað til að líta á.

dev tun-office
route-nopull
pull-filter ignore "redirect-gateway"

dev tun-lab
route-nopull

route-nopull heldur leiðum sem þjónn ýtir undir utan við staðbundnu töfluna, og það er einmitt það sem þú vilt þegar stefnutöflurnar eiga að vera skýrar. Það er þess virði að athuga í handbókinni í stað þess að gera ráð fyrir hvort tiltekinn þjónn ýti einnig undir redirect-gateway valkosti og hvort biðlaraútgáfan þín styðji síuformið.

Skrifaðu matrixið: upptök, tafla, tæki

Fyrir hvern biðlarahóp, bættu við reglu sem velur töflu eftir upptökufangi og settu síðan fyrirhugaða leið í þá töflu:

ip rule add from 10.8.1.0/24 lookup 100 priority 1000
ip rule add from 10.9.1.0/24 lookup 200 priority 1000
ip route add default dev tun-office table 100
ip route add default dev tun-lab table 200

Taflan þarf ákvörðunarleiðirnar sem hópurinn ætti að hafa, auk hvers staðbundins eða stjórnunarlegs undantekninga sem heldur gáttinni nothæfri. Tafla sem inniheldur aðeins sjálfgefna leið er stefna fullra ganga fyrir þann hóp, sem kann að vera einmitt rétt, en það ætti að vera ákvörðun en ekki yfirsjón.

Eigin flutningur ganganna er ekki í biðlarahópi

Dulkóðaðir pakkar hvers púka verða til á gáttinni sjálfri, beint að ytra jafningjanum. Regla sem passar aðeins við upptökuforskeyti biðlara lætur þá pakka í friði, og þess vegna eru reglur takmarkaðar við upptök öruggari en reglur sem passa við allt. Regla án valara getur gripið eigin flutning ganganna og sent hann til baka um göng, og þá bregst tengingin á þann hátt að líkist vandamáli hjá veitanda.

Haltu staðbundnu stjórnunarlotunni og leið undirlagsins skýrt utan við stefnutöflurnar. Skrifaðu þessar undantekningar við hlið matrixsins; þær eru hluti af hönnuninni, ekki hjáleið sem þarf að enduruppgötva meðan á atviki stendur.

Að velja leið leyfir hana ekki

Leyfi til framsendingar er önnur ákvörðun sem tekin er síðar á leiðinni. Eldveggsregla sem tekur við pökkum sem fara út um annað göngin lætur leiðavalskóðann ekki velja það, og rétt tafla veitir ekki leyfi til framsendingar. Bæði verða að vera til staðar, og próf sem sannar aðeins annað mun villa um fyrir þér varðandi hitt. Þegar annar hópurinn virkar og hinn ekki, athugaðu þessi tvö skref sérstaklega í stað þess að endurskrifa töflurnar.

Þýðing upptaka er þriðja ákvörðunin, og ætti að takmarkast við upptökuhópinn og göngutækið sem raunverulega ber hana. Bættu við sérhæfðri keðju fyrir tvö eintökin í stað þess að tæma postrouting-keðjuna, því óskyld þjónusta kann að eiga færslur þar og tæming fjarlægir þær hljóðlaust.

Hvað gerist þegar eitt göng fellur

Ákveddu hegðun við bilun fyrirfram. Þegar göngutafla missir leiðina sína fellur leitin niður á næstu reglu, og umferð hópsins heldur áfram um hitt göngin eða venjulega uppstrenginn án nokkurrar villu. Ef það er ekki ásættanlegt skaltu bæta við lokareglu með lægri forgangsnúmeri sem skilar óaðgengilegri niðurstöðu fyrir þau upptök, svo tapið sé sýnilegt í stað þess að vera gleypt.

Sendu nýja beiðni frá hverjum upptökuhópi og skráðu fjögur staðreyndir: valda töflu, útgangstækið, þýddu upptökin og hvort svarið kom til baka sömu leið. Lækkaðu síðan eitt göng og endurtaktu. Tvö TUN-tæki í viðmótalista sanna að báðir púkar hafi ræst; þau segja ekkert um hvort tiltekinn biðlari notaði. Seinni keyrslan, með eitt göng horfið, er sú sem sýnir hvort varareglan þín gerir það sem þú ætlaðir.