Бир хосттогу OpenVPN сервери жана кардар: кардарлар эмне үчүн үзүлөт
OpenVPN кызматын көрсөтүп, аны өзү да колдонгон хост туннелин жогору кармай алат, ал эми жергиликтүү кардарлар жоопторду жоготушат. Муну эки нерсе түшүндүрөт: жалпы пул жана жаңы демейки маршрут.
VPN сервери мурунтан иштеп турган машинага кардар профилин кошуңуз, биринчи курмандык — баштапкы кызмат. Жаңы туннель такыр орнотулбашы мүмкүн, же сервердин учурдагы кардарлары үнсүз жооп алууну токтоткондо ал көтөрүлүшү мүмкүн. Эки кагылышуу эки натыйжаны тең берет: колдонулуп жаткан туннель пулу жана жаңы кардар жарымы орноткон, бүт таблицаны камтыган демейки маршрут. Экөө тең OpenVPN ката билдирүүсүн чыгарбайт, ошондуктан бузулуу сервердин көйгөйү деп окулат.
Бир машина, эки роль жана жооптор кайда барышы керектиги тууралуу эки шайкеш келбеген жооп.
Бир пул, эки сервер: кайсы жеңет
Ар бир сервер нускасына өзүнүн туннель ички тармагы керек. server 10.8.0.0 255.255.255.0 сыяктуу сапты экинчи конфигурацияга көчүрүү эки нускага бирдей префикс берет, ал эми натыйжа — же иштетүүдөн баш тартуу, же бир сервердин кардарлары экинчиси да өзүнүкү деп эсептеген даректерди алган үнсүз жарыш. Ар башка UDP порттору жана ар башка түзмөк аттары жардам бербейт, анткени экөө тең дарек мейкиндигине тийбейт. Экинчи пулду өзгөртүңүз жана маршруттар аны эске салган бардык жерде өзгөртүңүз.
Оңдоодон мурун эмне активдүү экенин тизмелеңиз: ip -4 addr show туннель түзмөктөрүн тизейт, ss -lunp угуучуларды тизейт, ал эми systemctl list-units бирдиктерди атайт. Туннель даректерине бир көз чаптыруу пулдар кагылышабы же жокпу аныктайт.
Кардар профили таблицага эмнени кошот
Кардар жарымы туташкан замат маршруттарды жазат. redirect-gateway def1 демейки маршрутту 0.0.0.0/1 плюс 128.0.0.0/1 болуп бөлөт, экөө тең жаңы түзмөк аркылуу маршрутталат, алыскы серверге бара турган, атайын физикалык интерфейске бекитилген хост маршруту менен кошо. Бул бекитүү туннель өзүнүн ташымалы үчүн жолду сакташы үчүн керек. Калганынын баары, жергиликтүү сервер өз кардарларына берүүгө милдеттүү жоопторду кошкондо, эми жаңы демейкиге ээрчип, алыскы байланыш аркылуу чыгат.
Демек экинчи кагылышуу — бузулган туннель эмес. Бул таблицанын туура эмес жеринде турган иштеп жаткан туннель.
Ролдорду бөлүк кармоонун үч жолу
Эң аз кийлигишүүчү оңдоо демейки маршрутту кардар профилинен тышкары кармайт: алыскы префикстер үчүн route-nopull плюс ачык route саптары, ошондо жергиликтүү таблица сиз сураган жерде гана өзгөрөт. Кийинки кадам — жергиликтүү туннель ички тармагын бошото турган саясат эрежеси, ал демейки маршрут болсо да жергиликтүү кардарларга жооптор келген интерфейстен чыгышына мүмкүндүк берет. Эң негиздүүсү — кардар ролу үчүн өзүнчө тармак аттар мейкиндиги, ал жалпы таблицаны толугу менен алып салат жана экинчи маршруттоо контекстин кармоону талап кылат.
Кайсы жолду тандасаңыз да, өзгөчөлүк LAN эмес, жергиликтүү туннель ички тармагын аташы керек. Жергиликтүү сервер жөнөткөн жооптун багыты — туннель дареги, ошондуктан LAN формасындагы өзгөчөлүк ага эч качан туура келбейт.
Эки нусканын кайсынысы күнөөлүү
Кардар нускасын токтотуп, баштапкы кардарларды кайра текшериңиз. Дароо калыбына келүү — маршруттоо, сервер эмес. Кардарды кайра күйгүзүп, ip route get аркылуу бир жоопту көзөмөлдөңүз, ага баштапкы жана багыт дареги берилген, бул ядро тандай турган жолду көрсөтөт, андан кийин пакеттер чындыгында кайсы интерфейсти колдонорун tcpdump -ni any port 1194 аркылуу байкаңыз. Сервердин абал файлы, ал ар бир нече секундда status директивасы аркылуу жазылат, туташкан кардарлардын тизмесин жана эки багыттагы байт эсептегичтерин камтыйт.
Бул эсептегичтерди бири-бирине каршы окуңуз. Чыгып, эч качан кайтпаган трафик — бул кол алышуу көйгөйү эмес, маршруттоо жообу.