Tveir OpenVPN göng á einum Linux vél: hver á leiðina?

Tvö forrit eru tengd, og annað þeirra ber hljóðlega umferð sem er ætluð hinu. Linux vél getur keyrt bæði OpenVPN-biðlarana á sama tíma án vandkvæða. Það sem hún getur ekki gert er að ákveða fyrir þig hvaða ferli má gera tilkall til hvaða forskeytis. Þá ákvörðun verður að taka áður en annað göngin fara upp, ekki eftir að auðlind hættir að svara.

Byrjaðu á verkinu sem seinna sambandið á að leysa

Skrifstofa sem er aðgengileg í gegnum eitt forrit og rannsóknarstofa sem er aðgengileg í gegnum annað þurfa bæði göngin uppi og hvorugt þeirra má gera tilkall til alls. Eitt þrjóskt forrit sem verður að fara út um annað forritið þarf stefnureglu í stað annarrar sjálfgefinna leiðar. Varasamband þarf aðeins eitt göng í gangi í einu, svo varann ætti ekki að ræsa með vélinni.

Þetta eru þrjár mismunandi stillingar, og þær ruglast því allar þrjár byrja á sama hátt: annað forrit og vel heppnuð tenging. Skrifaðu fyrirhugaða ráðstöfun niður fyrst og stilltu síðan í átt að henni. Ein setning um áform sparar klukkustund af pakkaskráningu.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Fyrsta skipunin listar keyrandi tilvikin, þar á meðal þau sem ræst voru handvirkt utan stjórnandans. Önnur prentar núverandi sjálfgefna kröfu, sem er ástandið sem þú þarft að útskýra síðar.

Skörun lauga brotnar áður en leiðsögn gerir það

Tveir netþjónar úthluta glaðir vistföngum úr sama 10.8.0.0/24. Biðlarinn heldur þá tveimur viðmótum innan eins forskeytis án nokkurs sem segir hvaða áfangastaður tilheyrir hvoru, og hegðunin sem af því leiðir lítur út eins og leiðarvilla en er í raun númerunarvilla. Endurnúmerun laugar kostar eina stillingarbreytingu; hver leiðarúrlausn eftir það kostar eina helgi. Athugaðu laugina áður en þú bætir við leið fyrir hana.

Líttu líka á staðarnetið. Heimanet númerað 192.168.1.0/24 sem eitt göngin afhjúpa líka skapar sömu tvíræðni, og einkennið er hýsilnafn sem leysist á meðan tengingin klárast aldrei. Það lítur út eins og nafnleysingarvilla þar til þú prentar leiðirnar.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Berðu saman báðar úttakstölur við báðar netþjónastillingarnar áður en þú snertir biðlarann. Ef forskeytin skarast, stöðvaðu og endurnúmeraðu, því engin endurræsing mun aðskilja þau.

Gefðu hverju forriti eigin einingu og hverju forskeyti eiganda

Hvert forrit fær eigið tilviksnafn og eigin stillingarskrá, svo tilvikið sem heitir office hleður office.conf en það sem heitir lab hleður lab.conf. Staðfestu þessa vörpun í gegnum þjónustustjórnandann í stað þess að treysta skráaskrá, því drop-in getur breytt því hvaða skrá er hlaðin. Röng vörpun þýðir að þú stillir forritið sem er ekki í gangi.

Ákveddu síðan hver setur upp leiðir. Þegar netþjónarnir ýta ósamhæfum settum, annaðhvort hafnaðu ýtingunni og listar forskeytin sjálfur, eða leyfðu einu forriti að halda sjálfgefnu leiðinni og stýrðu hinu með stefnureglum. Tvö ferli sem bæði setja upp sjálfgefna leið enda með hljóðlátan sigurvegara og enga skriflega skrá um ákvörðunina.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Fyrsta sýnir eininguna með hverri yfirskrifun sem breytir rökum hennar. Önnur sýnir hvort forritið samþykkir ýttar leiðir yfirhöfuð, og það er rofinn sem ræður öllu niður á við.

Merkingar halda svörum á því viðmóti sem þau komu frá

Þegar hvert göng þjóna mismunandi uppsprettum getur svar farið út um rangt samband og tengingin deyr eftir fyrsta pakkann. Mynstrið sem heldur er að merkja komandi pakka eftir inntaksviðmóti, endurheimta þá merkingu á svarinu og gefa hverri merkingu töflu með eigin sjálfgefnu gátt.

Losa þarf yfirleitt um öfuga leiðarsíun fyrir viðmótin sem um ræðir, því svar kemur löglega um samband sem aðaltöfluna myndi aldrei velja. Haltu merkingunum þröngum svo þær grípi aldrei eigin dulkóðaða umferð ganganna, sem myndi senda göngin í gegnum sjálf sig.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Lestu fyrirliggjandi reglur áður en þú bætir við annarri. Tvöfaldar forgangsröð og gleymdar töflur eru venjulega ástæðan fyrir því að merkingarstefna virðist ekki hafa nein áhrif.

Sannaðu einangrun með því að stöðva eitt samband

Með bæði göngin uppi skaltu skrá vistfang hvers viðmóts, leiðina að einum hýsli bak við hvert göng og slóðina sem ótengdur áfangastaður fer. Biddu kjarnann um uppflettinguna í stað þess að lesa eina töflu, því ein tafla sýnir aldrei endanlegu ákvörðunina.

Stöðvaðu síðan eitt tilvik og fylgstu með viðmóti þess og leiðum hverfa á meðan hitt heldur áfram. Brot í því sem lifir af þýðir að þau tvö deila enn tækisnafni, leið eða eldveggjarreglu sem enginn aðskildi.

Komdu stöðvuðu forritinu aftur og endurtaktu sömu prófanir. Þegar göng lifa aðeins af fyrstu ræsingu eftir endurræsingu ertu að horfa á lífsferilsgalla en ekki leiðarhönnun.