OpenVPN: жергиликтүү дарек жана туннелдин дареги — эки башка сокет

Клиент иштей баштоодон баш тартып, жергиликтүү даректи байлай албай жатканын айтат, ал эми айкын чечим аны күтүп жаткан туннелдин дарегине багыттоо сыяктуу көрүнөт. Бул иштебейт, жана себебин түшүнүү керек: туннел пайда болгонго чейин ички дарек жок, ал эми сервер менен байланышкан сокет мурун болушу керек. Бул жерде эки башка дарек бар жана алардын бирин гана жергиликтүү түрдө тандоого болот.

Байлоо катасы жергиликтүү даректи атайт

OpenVPN жергиликтүү даректи байлай албастыгын билдиргенде, ал транспорттук сокет тууралуу айтат: шифрленген байланышты теңдешке жеткирген UDP же TCP акыркы чекити.

Айкын local директивасы демонго ошол сокетти белгилүү бир жергиликтүү дарекке байлоону сунуш кылат. Дарек процесс иштеп жаткан тармактык аттар мейкиндигинде болушу керек жана клиент башталган учурда бөлүштүрүлүүгө жарактуу болушу керек.

Роутерде же булуттун четине которулган коомдук дарек демон байлай алган жергиликтүү дарек эмес, ал тургай сервер көргөн дарек дал ошол болсо да. Бул айырма бир профилдин үйдө иштеп, булут инстанциясында ишке ашпай калышын түшүндүрөт. Ал ошондой эле коомдук даректи loopback интерфейсине кошуу эмнеге жардам бербей турганын түшүндүрөт, анткени анда транспорт тармак жооп кайтара албаган даректен чыгат. Профилди оңдоодон мурун интерфейстердин тизмесин окуңуз.

local жана remote чындыгында эмнени тандайт

remote байланышуучу теңдешти атайт. local ошол эле сокеттин жакынкы учун байлайт. nobind операциялык системага жергиликтүү даректи жана портту тең тандоого мүмкүндүк берет, ошондуктан үйдөгү роутерлердин артындагы клиенттер адатта эки директивасыз эле иштейт.

Бул эки директиванын бири да туннелдин ичиндеги дарекке тиешеси жок.

Контейнерде же тармактык аттар мейкиндигинде ошол эле эреже тар чектер менен колдонулат: хосттун даректери ичинде жок, ошондуктан хосттун конфигурациясынан көчүрүлгөн local сабы туура эмес даректен таптакыр башка себептен ишке ашпайт.

ip -brief address show
ip route get 203.0.113.10

Ички дарек серверден келет

Туннелдин ичиндеги дарек контроль каналы орнотулгандан кийин сүйлөшүлүп же дайындалат. Динамикалык пулда сервер аны туташуу учурунда чечет, ал эми клиентке тиешелүү конфигурацияда ал ар бир идентификация үчүн бекитилген болушу мүмкүн.

local директивасын ички дарек менен жазуу серверден ошол даректи бөлүштүрүүнү сурабайт. Эң жакшы учурда байлоо ишке ашпайт; эң жаман учурда клиент ошол эле маанидеги байланышсыз хост дарегин таап, аны транспорт үчүн колдоно баштайт.

Окулуучу интерфейстер да башка. ifconfig параметрлери жана пулдун конфигурациясы ички жагын сүрөттөйт, ал эми remote, local, proto жана nobind тышкы жагын сүрөттөйт. Эки тизмени өзүнчө кармоо форумда кезиккен дээрлик ар бир чаташтырган мисалды түшүндүрөт. OpenVPN 2.6 колдонмосу дал ушундан улам аларды өзүнчө бөлүмдөрдө баяндайт.

Тузок: өз транспортун кармап калган толук туннел

Туннел көтөрүлүп, демейки маршрутту алып жүргөндөн кийин, аны кармап турган пакеттер анын ичине маршрутталышы керек эмес. Бул дарек эмес, маршруттоо маселеси, жана демон аны баштапкы шлюз аркылуу сервердин өз дарегине такыраак маршрут орнотуу менен чечет.

Эгер транспорту белгилүү бир жергиликтүү дарекке бекитип, кийин ошол дарек колдонгон жолду өзгөртсөңүз, тышкы байланыш жолун жоготушу мүмкүн, ал эми ички бөлүгү конфигурацияланган боюнча калат. Ички бөлүгү жакшы болгондуктан туннел туташкандыгы тууралуу кабарлоону улантат. Бузулган нерсе транспорт гана, ошондуктан журналдар карама-каршылык катары окулат.

Анда белгилер туташып тоңуп калган туннелге окшошот, же пайдалуу катасыз циклде кайра туташкан туннелге окшошот. Туннелдин ичиндегини текшерүүдөн мурун теңдештин дарегине барган маршрутту текшериңиз жана байлаган жергиликтүү дарек дагы эле күтүлгөн интерфейске таандык экенине ынаныңыз.

Чаташууну алдын алган адат

Профилдеги ар бир даректи окуп, оңдоодон мурун ал кайсы катмарга таандык экенин чечиңиз.

Эгер ал транспорттун алыскы учун атаса же жакынкы учун байласа, бул тышкы дарек жана ишке кирүүдөн мурун болушу керек. Эгер ал туннелдин ичинде эмне болорун сүрөттөсө, ал серверден же топологиядан келет, жана эч бир жергиликтүү директива анын ордун баса албайт.

Эки тизмени профилдин жанындагы жайгаштыруу жазууларына жазыңыз. Кийинки көйгөйдү чечүү сессиясы ошондо божомолдон эмес, катмардан башталат.