Бір Linux хосттағы екі OpenVPN клиенті: маршрут кімдікі?

Екі профиль де қосылым туралы хабарлайды және олардың біреуі екіншісіне арналған трафикті тыныш тасымалдайды. Бір хосттағы екі клиент — қолдау көрсетілетін орналасу; әр префикс үшін иесіз екі клиент олай емес. Жұмыс екінші туннельді көтеруден гөрі қай процестің қай маршрутқа талап қоя алатынын шешуге көбірек қатысты. Төмендегі ретпен жүріңіз, конфигурация жауаптардан шығады.

Екінші туннель не үшін керек екенін сұраудан бастаңыз

Үш жағдай күй жолында бірдей көрінеді және түрлі жобаларды қажет етеді. Межелі орындар бойынша бөлу бір префиксті кеңсе профилі арқылы, екіншісін зертхана профилі арқылы жібереді, екеуі де әдепкі маршрутқа талап қоймайды. Қолданба бойынша бөлу әдетте бір толық туннельді сақтайды және белгілі трафикті саясат ережелерімен бағыттайды. Ақау кезіндегі ауысу бір уақытта дәл бір туннельді қосулы ұстайды, яғни екіншісі өздігінен іске қосылмауы керек.

Кез келген конфигурация файлын ашпас бұрын жағдайды жазып қойыңыз, өйткені сол жауап кейінгінің бәрін анықтайды.

Ең көп кездесетін бұзылған орналасу — екеуі де әдепкі маршрутты итерген екі толық туннель, онда соңғы қосылған жеңеді, ал біріншісі әлі де көзбояушылық жасайды. Бұл күй күй жолынан әдейі жасалғандай көрінеді және маршруттау кестесінен бір күнді ысырап етеді. Жағдайды алдын ала атау оны тек екіталай емес, мүмкін емес етеді.

Маршруттарға дейін пулдарға қараңыз

Екі сервер бір жеке ауқымнан мекенжайларды оңай бере алады, және солай еткенде клиент бір префикстің ішінде екі интерфейспен қалады. Сонда ешбір межелі орынды мекенжай бойынша интерфейске телу мүмкін емес, өйткені екеуі де бірдей дұрыс көрінеді. Теңдікті бұзу үшін ереже ойлап тапқанша, бір пулды қайта нөмірлеңіз.

Жергілікті желіні де тексеріңіз, өйткені туннель ауқымымен қабаттасатын үй немесе кеңсе LAN-ы екінші жақтан дәл сол екіұштылықты туғызады. Клиентті кінәламас бұрын хосттағы мекенжайларды екі сервер конфигурациясымен салыстырыңыз. Зертхана серверіндегі пул өзгерісі — бес минуттық түзету, ал қабаттасатын префикс үшін саясаттық маршруттау айналма жолы кейін конфигурацияны оқитын әркімге тұрақты салық. Қайда араласуға болатынын таңдамас бұрын осы екеуінің қайсысын қалайтыныңызды шешіңіз.

Екі мекенжай тұқымдасы осы тексерудің екі айналымын білдіреді. IPv6 пулдары IPv4 сияқты тыныш соқтығысады.

Әр профильге ие беріңіз

Әр профильге бір дана, әр данаға бір конфигурация файлы және жұпты анықтайтын бір атау. Debian стиліндегі бумалауда @ таңбасынан кейінгі атау файлды таңдайды, сондықтан бірдей дана атауын бөлісетін екі профиль ешқашан екеуі де жұмыс істей алмайды. Сәйкестікті оқулықтан емес, орнатылған бірліктен растаңыз.

systemctl cat [email protected]
ip -4 addr show

Содан кейін маршруттарды кім орнататынын шешіңіз, бұл саясат мәселесі, синтаксис емес.

Екі сервер үйлесімсіз жиындарды итергенде, не қосыңыз route-nopull және әр профильге қажет префикстерді ғана тізімдеңіз, немесе біреуіне әдепкі маршрутын сақтауға рұқсат етіп,қалғанын саясат ережесімен бағыттаңыз. Екеуі де әдепкі маршрутты орнататын екі процесс бір жеңімпазбен аяқталады және ешкім себебін айта алмайды. Екі туннель түрлі көздердің трафигін тасымалдай бастағанда, жауап қате туннель арқылы шығуы мүмкін, ал төзімді үлгі — жауаптарда қалпына келтіріліп, өз кестесіне бағытталатын қосылым белгісі. Белгілерді шектеңіз, сонда туннельдердің өз шифрланған пакеттері оларға ешқашан сәйкес келмейді.

Әр туннель бойынша тексеріңіз, содан кейін біреуін тоқтатыңыз

Екеуі де көтерілгенде, үш көрсеткіш алыңыз: әр туннель құрылғысындағы мекенжай, әрқайсысының артында тұратын хостқа маршрут және екеуінің сыртындағы межелі орын алатын жол. Қарапайым маршрут тізімі ережелер ойынға кірген бойда соңғы іздеуді сипаттауды тоқтатады, сондықтан ядродан оның шын мәнінде нені таңдайтынын сұраңыз. Содан кейін бір дананы тоқтатып, ненің жоғалатынын бақылаңыз. Біріншісін тоқтату екіншісіне кедергі келтірсе, олардың арасында әлі де ортақ нәрсе бар: маршрут, құрылғы атауы немесе ешкім бөлмеген firewall ережесі.

ip rule show
ip route get 203.0.113.9

Тоқтатылған профильді қайтарып, сол тексерулерді қайталаңыз, өйткені қайта жүктеуден кейін бір рет жұмыс істеп, одан кейін ешқашан істемейтін туннель — маршруттау киімін киген өмірлік цикл ақауы.

Орналастыру жазбаларында қай профиль қай префикске ие екенін пул ауқымдарының жанына жазыңыз. Екі туннель — әдейі жасалған орналасу, ал келесі оқырман кез келген профильге тимес бұрын шекараны көруі керек. Бұл жазба болмаса, шекараны ортақ префикс ақыры бұзылғанда кезекші адам қайта ашады.