ორი OpenVPN კლიენტი ერთ Linux ჰოსტზე: ვის ეკუთვნის მარშრუტი?

ორივე პროფილი აცხადებს კავშირს და ერთი მათგანი ჩუმად ატარებს ტრაფიკს, რომელიც მეორისთვისაა განკუთვნილი. ორი კლიენტი ერთ ჰოსტზე მხარდაჭერილი განლაგებაა; ორი კლიენტი მფლობელის გარეშე თითოეული პრეფიქსისთვის — არა. სამუშაო ნაკლებად მეორე გვირაბის აწევას ეხება და უფრო მეტად იმის გადაწყვეტას, რომელ პროცესს შეუძლია რომელი მარშრუტის მოთხოვნა. გაიარეთ ქვემოთ მოცემული თანმიმდევრობით და კონფიგურაცია პასუხებიდან გამომდინარეობს.

დაიწყეთ კითხვით, რისთვისაა მეორე გვირაბი

სამი სიტუაცია სტატუსის ხაზზე ერთნაირად გამოიყურება და სხვადასხვა დიზაინს მოითხოვს. დანიშნულებით დაყოფა ერთ პრეფიქსს ოფისის პროფილით აგზავნის, მეორეს — ლაბორატორიის პროფილით, და არც ერთი არ ითხოვს ნაგულისხმევ მარშრუტს. აპლიკაციით დაყოფა ჩვეულებრივ ინარჩუნებს ერთ სრულ გვირაბს და კონკრეტულ ტრაფიკს პოლიტიკის წესებით მიმართავს. მარცხისას გადართვა ერთდროულად ზუსტად ერთ გვირაბს ინარჩუნებს ჩართულს, რაც ნიშნავს, რომ მეორე ავტომატურად არ უნდა გაეშვას.

ჩაწერეთ შემთხვევა ნებისმიერი კონფიგურაციის ფაილის გახსნამდე, რადგან ეს პასუხი განსაზღვრავს ყველაფერს შემდეგს.

ყველაზე გავრცელებული გატეხილი განლაგება ორი სრული გვირაბია, რომლებმაც ორივემ ნაგულისხმევი მარშრუტი გაუშვა, სადაც ბოლოს დაკავშირებული იმარჯვებს და პირველი განაგრძობს თავის მოჩვენებას. ეს მდგომარეობა სტატუსის ხაზიდან განზრახ ჩანს და მარშრუტიზაციის ცხრილიდან ერთ დღეს ხარჯავს. შემთხვევის წინასწარ დასახელება მას შეუძლებელს ხდის და არა უბრალოდ ნაკლებად სავარაუდოს.

შეხედეთ პულებს მარშრუტებამდე

ორ სერვერს ადვილად შეუძლია მისამართების გაცემა ერთი კერძო დიაპაზონიდან, და როცა ამას აკეთებენ, კლიენტი ერთი პრეფიქსის შიგნით ორი ინტერფეისით რჩება. მაშინ ვერც ერთი დანიშნულების მიბმა ინტერფეისზე მისამართით შეუძლებელია, რადგან ორივე თანაბრად სწორად გამოიყურება. გადანომრეთ ერთი პული ფრეის გასახსნელად წესის გამოგონების ნაცვლად.

შეამოწმეთ ლოკალური ქსელიც, რადგან გვირაბის დიაპაზონს გადამკვეთი სახლის ან ოფისის LAN იგივე გაურკვევლობას ქმნის მეორე მხრიდან. სანამ კლიენტს დაადანაშაულებთ, შეადარეთ ჰოსტზე არსებული მისამართები ორივე სერვერის კონფიგურაციას. ლაბორატორიის სერვერზე პულის შეცვლა ხუთწუთიანი შესწორებაა, ხოლო გადამკვეთი პრეფიქსისთვის პოლიტიკური მარშრუტიზაციის გვერდის ავლა მუდმივი გადასახადია ყველასთვის, ვინც კონფიგურაციას მოგვიანებით წაიკითხავს. გადაწყვიტეთ, რომელი გსურთ, სანამ აირჩევთ, სად ჩაერიოთ.

ორი მისამართის ოჯახი ამ შემოწმების ორ რაუნდს ნიშნავს. IPv6 პულები ისევე ჩუმად ეჯახება, როგორც IPv4.

მიეცით თითოეულ პროფილს მფლობელი

ერთი ინსტანსი თითო პროფილზე, ერთი კონფიგურაციის ფაილი თითო ინსტანსზე და ერთი სახელი, რომელიც წყვილს ამოიცნობს. Debian-ის სტილის შეფუთვაში @ ნიშნის შემდეგ სახელი ირჩევს ფაილს, ამიტომ ერთი და იმავე ინსტანსის სახელის მქონე ორი პროფილი ვერასოდეს იმუშავებს ორივე. დაადასტურეთ დაკავშირება დაყენებული ერთეულიდან და არა გაკვეთილიდან.

systemctl cat [email protected]
ip -4 addr show

შემდეგ გადაწყვიტეთ, ვინ აყენებს მარშრუტებს, რაც პოლიტიკის საკითხია და არა სინტაქსის.

როცა ორი სერვერი შეუთავსებელ კომპლექტებს უშვებს, ან დაამატეთ route-nopull და ჩამოთვალეთ მხოლოდ ის პრეფიქსები, რომლებიც თითოეულ პროფილს სჭირდება, ან მიეცით ერთს თავისი ნაგულისხმევი მარშრუტის შენარჩუნების საშუალება და დანარჩენი პოლიტიკის წესით მიმართეთ. ორი პროცესი, რომლებიც ორივე ნაგულისხმევ მარშრუტს აყენებს, ერთი გამარჯვებულით სრულდება და ვერავინ იტყვის რატომ. როგორც კი ორი გვირაბი სხვადასხვა წყაროს ტრაფიკს ატარებს, პასუხი შეიძლება არასწორიდან გავიდეს, და ნიმუში, რომელიც ძლებს, არის კავშირის ნიშანი, რომელიც პასუხებზე აღდგება და საკუთარ ცხრილში მიემართება. შეზღუდეთ ნიშნები ისე, რომ თავად გვირაბების დაშიფრული პაკეტები მათ არასოდეს დაემთხვეს.

შეამოწმეთ თითოეული გვირაბი, შემდეგ გააჩერეთ ერთი

როცა ორივე ზემოთაა, აიღეთ სამი წაკითხვა: მისამართი თითოეულ გვირაბის მოწყობილობაზე, მარშრუტი ჰოსტამდე, რომელიც თითოეულის უკან ცხოვრობს, და გზა, რომელსაც ორივეს გარეთ მყოფი დანიშნულება აირჩევდა. ჩვეულებრივი მარშრუტების სია წყვეტს საბოლოო ძიების აღწერას, როგორც კი წესები თამაშში შემოდის, ამიტომ ჰკითხეთ ბირთვს, რას აირჩევდა სინამდვილეში. შემდეგ გააჩერეთ ერთი ინსტანსი და ნახეთ, რა ქრება. თუ პირველის გაჩერება მეორეს აფერხებს, მათ შორის ჯერ კიდევ რაღაც საერთოა: მარშრუტი, მოწყობილობის სახელი ან firewall-ის წესი, რომელიც არავის გაუყვია.

ip rule show
ip route get 203.0.113.9

დააბრუნეთ გაჩერებული პროფილი და გაიმეორეთ იგივე შემოწმებები, რადგან გვირაბი, რომელიც გადატვირთვის შემდეგ ერთხელ მუშაობს და მეტჯერ აღარასოდეს, სასიცოცხლო ციკლის შეცდომაა მარშრუტიზაციის კოსტიუმში.

ჩაწერეთ განლაგების შენიშვნებში, რომელი პროფილი ფლობს რომელ პრეფიქსს, პულების დიაპაზონების გვერდით. ორი გვირაბი განზრახ განლაგებაა და შემდეგ მკითხველს სჭირდება საზღვრის დანახვა, სანამ რომელიმე პროფილს შეეხება. ამ შენიშვნის გარეშე საზღვარს ხელახლა აღმოაჩენს ის, ვინც მორიგეობს, როცა საერთო პრეფიქსი საბოლოოდ ტყდება.