Tvö þjónustuföng á einum OpenVPN-biðlara: iroute og lo

Forritið svarar á göngufanginu, og fangið sem þú skjalaðir fyrir það liggur hvergi. Ekkert kvartar í OpenVPN-skránni, jafninginn sýnist tengdur, og hnúturinn telur upp nákvæmlega einn biðlara. Eyðan er sú að annað fang á biðlara eru tvær aðskildar staðreyndir: hýsillinn verður að eiga það, og hnúturinn verður að vita hvaða jafningi á það. Meðhöndlaðu annað án hins og umferðin deyr annaðhvort á hnútnum eða kemur án leiðar heim.

Samnefnið er staðbundið, eignarhaldið er fjarlægt

Göngufang er samið um, svo báðir endar læra það í handabandinu. Viðbótarþjónustufang er alls ekki samið um, þess vegna breytir viðbót þess engu á hnútnum sjálfu. Biðlarinn getur átt fangið samstundis og þjónninn sendir þá umferð samt á sjálfgefna leið sína eða sleppir henni. Búa verður til tvær færslur, á tvo mismunandi staði.

Á biðlaranum tilheyrir fangið hýsilnum, og loopback er eðlilegt heimili fyrir þjónustuauðkenni sem ætti aldrei að birtast á líkamlegri tengingu. Á hnútnum er vörpun jafnings á forskeyti sérstök yfirlýsing sem aðeins þjónninn les. Hvorug færslan gefur hina í skyn.

Haltu báðum bilunum aðskildum í athugasemdunum þínum líka. Föng í dæmi eru skjölunargildi, og að skarast þau við raunverulegt LAN er fljótlegasta leiðin til að láta virka uppsetningu líta út fyrir að vera brotna.

Bættu fanginu við biðlarann varanlega

Settu þjónustufangið á loopback með hýsilforskekti, svo hýsillinn meðhöndli það sem staðbundið inntak en ekki undirnet sem á að ná. ip address add 10.66.0.10/32 dev lo gerir það fyrir eitt fang, og endurtekning skipunarinnar fyrir annað fang líkir eftir tveimur þjónustum.

Keyrðu það sem einskiptis próf og færðu það síðan í það sem á netstillingar hýsilsins, því viðbót á keyrslutíma hverfur við endurræsingu og tvírit safnast upp milli endurtenginga. systemd-eining sem raðað er eftir netinu er einn valkostur, og netstjóri dreifingarinnar annar. Hvort sem þú velur, fangið verður að vera til áður en forritið bindur sig, annars fer þjónustan upp á röngum sökkli. Staðfestu með ip address show dev lo eftir endurræsingu en ekki eftir handvirku skipuninni.

Binding er ákvörðun aðskilin frá fangaskráningu. Forrit sem hlustar á hvert fang tekur við umferð á tengipunktum sem þú ætlaðir þér aldrei, svo beindu því að tilteknu þjónustufanginu. Þá hefur staðbundin inntaksstefna eitthvað nákvæmt til að passa við.

Krefðu þess í CCD-skránni sem hnúturinn les í raun

Á þjóninum fer eignarhaldsyfirlýsingin í skrá hvers biðlara sem er valin af auðkennda algenga nafninu, innan skráargeymisins sem client-config-dir nefnir. Línan er iroute 10.66.0.10 255.255.255.255, ein fyrir hvert fang, og segir þjóninum hvaða jafningi eigi að taka við umferð fyrir þann áfangastað.

Tveir smáatriðir brjóta þetta hljóðlega. Skráarheitið verður að passa við heitið sem þjónninn notar í raun, sem er öðruvísi þegar username-as-common-name kemur við sögu. Og iroute hefur aðeins áhrif í TUN-ham með stilltu skráargeymis biðlarastillinga, svo sama lína gerir ekkert í brúaðri uppsetningu. Bættu línum við fyrirliggjandi skrá í stað þess að skipta henni út, því hún gæti þegar borið fast fang eða push-valkosti. OpenVPN 2.6 tilvísunin skjalfestir bæði skráargeymis og eignarhaldsfyrirmælin.

Kjarni hnútsins þarf líka leið að þessum áfangastöðum svo staðbundið mynduð umferð fari inn í gönguferlið. route 10.66.0.10 255.255.255.255 í þjónsstillingunni nær yfir umferð sem þjónninn á upptök á, en aðrir biðlarar þurfa push "route 10.66.0.10 255.255.255.255" til að læra áfangastaðinn sjálfir.

Leiðsögn og heimild halda sér í sundur. Ýtt leið segir biðlara hvert á að senda pakka og veitir ekkert; þjónustan verður samt að taka við símtækinu á sínum eigin skilmálum.

Athugaðu inntaksstefnu og svarleið

Pakki sem er beint að samnefninu berst hýsilnum sem á það sem staðbundið inntak, svo spurningin er hvort staðbundið eldveggur leyfi þá uppsprettu og gátt. Leyfðu tiltekna þjónustugátt frá VPN-uppsprettubilinu í stað þess að opna allt fangið.

Svör þurfa leið til baka til símtækisins. Fyrir símtæki innan venjulega göngulaugarins er sú leið þegar til, því göngutækið ber hana. Símtæki á bak við annað leiðbeint net þarf líka endurkomuleið þess nets, og hér týna ósamhverfar uppsetningar pökkum.

Fylgstu með öðrum hlustanda á sömu gátt bundnum við annað fang, því kjarninn afhendir þeim sökkli sem passar og niðurstöðurnar virðast handahófskenndar. Athugaðu með ss -lntp og staðfestu að bundna fangið sé þjónustusamnefnið. Uppruni-NAT er ekki nauðsynlegur hér, og að bæta honum felur auðkenni símtækisins sem skrárnar þínar treysta á.

Prófaðu föng og eignarhald í sundur

Prófaðu í tveimur skrefum. Staðfestu fyrst að hýsillinn sem á fangið geti náð þjónustunni á samnefni sínu frá sjálfum sér, sem aðskilur bindingar- og eldveggsvandamál frá leiðsögn. Prófaðu síðan frá raunverulegu VPN-símtæki með auðkenningu forritsins sjálfs. Þegar hið fyrra gengur og hið síðara mistekst, er vantaða stykkið á hnútnum.

Athugaðu líka þá bilunahætti sem lifa af tengingu: samnefnið helst úthlutað þegar göngin eru niðri, og hnúturinn heldur leið sinni þegar jafninginn vantar. Ekkert hlutur eitt sannar að þjónustan sé aðgengileg, og þess vegna vinnur tveggja þrepa prófið einn ping frá fartölvu.