Бир Linux хостундагы эки OpenVPN кардары: маршрут кимдики?

Эки профил тең туташуу тууралуу билдирет жана алардын бири экинчисине арналган трафикти тынч ташып жатат. Бир хосттогу эки кардар колдоого алынган жайгашуу; ар бир префикс үчүн ээси жок эки кардар андай эмес. Иш экинчи туннелди көтөрүүдөн көрө кайсы процесстин кайсы маршрутка талап кыла аларын чечүүгө көбүрөөк байланыштуу. Төмөнкү тартипте жүрүңүз, конфигурация жооптордон келип чыгат.

Экинчи туннел эмне үчүн экенин суроодон баштаңыз

Үч кырдаал статус сабында бирдей көрүнөт жана ар башка долбоорлорду талап кылат. Барар жерлер боюнча бөлүү бир префиксти кеңсе профили аркылуу, экинчисин лаборатория профили аркылуу жөнөтөт, экөө тең демейки маршрутту талап кылбайт. Колдонмо боюнча бөлүү адатта бир толук туннелди сактайт жана белгилүү трафикти саясат эрежелери менен багыттайт. Ишке жарамсыз учурда которулуу бир убакта так бир туннелди күйүк тутат, башкача айтканда экинчиси өзү башталышы керек эмес.

Каалаган конфигурация файлын ачпасардан мурун кырдаалды жазып коюңуз, анткени ошол жооп кийинкинин баарын аныктайт.

Эң көп кезиккен бузулган жайгашуу — экөө тең демейки маршрутту түрткөн эки толук туннел, мында акыркы туташкан жеңет жана биринчиси көз боёочулукту улантат. Бул абал статус сабынан атайын жасалгандай көрүнөт жана маршруттоо таблицасынан бир күндү текке кетирет. Кырдаалды алдын ала атоо аны жөн гана ыктымалсыз эмес, мүмкүн эмес кылат.

Маршруттарга чейин пулдарды караңыз

Эки сервер бир жеке диапазондон даректүү даректи оңой бере алат, жана ошенткенде кардар бир префикстин ичинде эки интерфейс менен калат. Ошондо эч бир барар жерди дарек боюнча интерфейске таандык кылуу мүмкүн эмес, анткени экөө тең бирдей туура көрүнөт. Теңдикти бузуу үчүн эреже ойлоп тапкандын ордуна бир пулду кайра номурлаңыз.

Жергиликтүү тармакты да текшериңиз, анткени туннел диапазону менен капталган үй же кеңсе LAN экинчи тараптан ошол эле бүдөмүктүк жаратат. Кардарды күнөөлөөдөн мурун хосттогу даректерди эки сервер конфигурациясы менен салыштырыңыз. Лаборатория серверинде пулду өзгөртүү — беш мүнөттүк оңдоо, ал эми капталган префикс үчүн саясаттык маршруттоо айланып өтүү жолу кийин конфигурацияны окуган ар бир адамга туруктуу салык. Кайда кийлигишүүнү тандаардан мурун ушул экөөнүн кайсынысын каалаарыңызды чечиңиз.

Эки дарек үй-бүлөсү бул текшерүүнүн эки айлампасын билдирет. IPv6 пулдары IPv4 сыяктуу эле тынч кагылышат.

Ар бир профилге ээ берүү

Ар бир профилге бир нуска, ар бир нускага бир конфигурация файлы жана жупту аныктаган бир ат. Debian стилиндеги таңгактоодо @ белгисинен кийинки ат файлды тандайт, ошондуктан бирдей нуска атын бөлүшкөн эки профил эч качан экөө тең иштей албайт. Шайкештикти окуу куралынан эмес, орнотулган бирдиктен ырастаңыз.

systemctl cat [email protected]
ip -4 addr show

Андан кийин маршруттарды ким орнотоорун чечиңиз, бул саясат маселеси, синтаксис эмес.

Эки сервер шайкеш келбеген топтомдорду түрткөндө, же кошуңуз route-nopull жана ар бир профилге керектүү префикстерди гана тизмелеңиз, же бирине демейки маршрутун сактоого уруксат берип,калганын саясат эрежеси менен багыттаңыз. Экөө тең демейки маршрутту орноткон эки процесс бир жеңүүчү менен бүтөт жана эч ким эмне үчүн экенин айта албайт. Эки туннел ар башка булактардын трафигин ташыганда, жооп туура эмес туннелден чыгышы мүмкүн, ал эми туруктуу үлгү — жооптордо калыбына келтирилип, өз таблицасына багытталган туташуу белгиси. Белгилерди чектеңиз, ошондо туннелдердин өзүнүн шифрленген пакеттери аларга эч качан дал келбейт.

Ар бир туннел боюнча текшериңиз, анан бирөөнү токтотуңуз

Экөө тең көтөрүлгөндө, үч көрсөткүч алыңыз: ар бир туннел түзмөгүндөгү дарек, ар биринин артында жашаган хостко маршрут жана экөөнүн сыртындагы барар жер баса турган жол. Эрежелер оюнга кирген замат кадимки маршрут тизмеси акыркы издөөнү сүрөттөөнү токтотот, ошондуктан ядродон ал чындыгында эмнени тандаарын сураңыз. Анан бир нусканы токтотуп, эмне жоголорун караңыз. Биринчисин токтотуу экинчисине тоскоол болсо, алардын ортосунда дагы эле бир нерсе жалпы: маршрут, түзмөктүн аты же эч ким бөлбөгөн firewall эрежеси.

ip rule show
ip route get 203.0.113.9

Токтотулган профилди кайтарып, ошол эле текшерүүлөрдү кайталаңыз, анткени кайра жүктөөдөн кийин бир жолу иштеп, андан ары эч качан иштебеген туннел — маршруттоо кийимин кийген жашоо циклинен кеткен ката.

Жайгаштыруу жазууларында кайсы профил кайсы префикске ээ экенин пул диапазондорунун жанына жазыңыз. Эки туннел — атайын жасалган жайгашуу, ал эми кийинки окурман каалаган профилге тийүүдөн мурун чекти көрүшү керек. Бул жазуу болбосо, чекти жалпы префикс акыры бузулганда кезектеги адам кайра ачат.