Бир Pi-де эки VPN секирик: кайсы маршрут кайсы шерикти ташыйт
Бир Pi-де эки туннел дареги ката эмес. Ар бир багытка өзүнүн ташуучусу, өзүнүн далили жана сырткы секирик өлгөндө жарыяланган камдык план керек.
Бир кичинекей тактадагы эки туннел дареги ката көрүнөт, ал эми рефлекс — бирөөнү жок кылуу. Ал рефлекс тартипке келтириши керек болгон нерсени бузат. Эки секирикти ташыган хост ар бир туташуу үчүн бир даректи кармайт, жана ар бир даректи башка маршрут тандайт. Суроого татыктуу суроо — кайсы маршрут кайсы багыт үчүн кайсы ташуучуну тандайт, канча дарек бар экени эмес.
Ар башка ташуучуларды талап кылган үч багыт
Эки секириктин чынжыры — бири-бирине кабатталган үч багыт классы, жана ар бирин башка туташуу ташыйт. Сырткы шерикке физикалык байланыш аркылуу жетүү керек. Ички шерикке сырткы туннел аркылуу жетүү керек. Камтылган колдонмонун багытына ички туннел аркылуу жетүү керек, анын өз ташылышын сырткы туннел көтөрөт.
| Destination class | View that names the carrier | Command that proves it | Symptom when the wrong carrier wins |
|---|---|---|---|
| Outer peer, 198.51.100.10 | the main table, by destination | ip route get 198.51.100.10 | the outer handshake never completes |
| Inner peer, 203.0.113.7 | the main table once the outer tunnel is up | ip route get 203.0.113.7 | the inner handshake leaves over the physical link |
| Application destination, 172.30.9.1 | the table the inner client's traffic is selected into | ip route get 172.30.9.1 from 10.8.0.2 | the exit address looks right and the traffic never crossed the outer hop |
| Parallel tunnels, one per source group | one policy per group, not the main table | ip rule show beside a marked test connection | both tunnels are up and one steals the other's traffic |
Маршрутка тийүүдөн мурун саптарды окуучунун чыныгы даректери менен толтуруңуз, анткени таблица так болгондо гана пайдалуу. Иштеген чынжыр төрт сапты тең бир убакта канааттандырат, ал эми жарым иштеген чынжыр адатта алардын бирин туура эмес ташуучу менен канааттандырат. Туура эмес сапты бузулуу деп окуу маршруттоо маселесин толук түштөн кийинки оңдоолорго айландырат.
Даректердин саны эмес, ролу бар
Linux бир интерфейсте бир нече дарекке жана бир хостта бир нече туннелге жол берет, ошондуктан сан тууралык жөнүндө эч нерсе айтпайды. Маанилүүсү — кайсы дарек кайсы туташууга таандык жана берилген шерик үчүн маршрут сиз ойлогон туташууну тандайбы. Үч көрүнүш буга үч багыттан жооп берет, жана аларды ар дайым ошол эле тартипте окуган жөн.
Даректердин тизмеси эмне бар экенин жана кайсы туташуу ага ээ экенин көрсөтөт. Маршруттар таблицасы кадимки багыттык трафик үчүн ташуучу суроосуна жооп берет. Саясат көрүнүшү булак же белги боюнча тандалган трафик үчүн кайра жооп берет, бул эки клиент бир хостту бөлүшкөндөгү кадимки жайгашуу.
ip -4 addr show
ip -4 route show table all
ip rule showТизме узун көрүнгөндүктөн даректи жок кылуу жолдун бир бөлүгүн алып салышы мүмкүн, ал эми ашыкча көрүнгөндүктөн маршрутту жок кылуу ошол эле ишти тынчыраак жасайт. Экөө тең ката бербейт; шерик жөн гана сиз ойлогон жолдо жооп берүүнү токтотот, бирок башка жол менен жеткиликтүү бойдон калат. Ички шериктин чыгуу дарегин билдирген колдонмо трафиктин сырткы туннелден өткөнүн далилдебейт, анткени түз жетүү ошол эле байкоону берет. Байкоо менен далилдин ортосундагы ушул ажырым ташуучунун маршруттоо катмарында текшерилишинин себеби.
Активация тартиби белгиленген уйкудан басымдуу
Эгер ички клиент сырткы клиент берген дарекке же маршрутка көз каранды болсо, активация кечигүүнү эмес, ошол ресурсту күтүшү керек. Уйку сырткы туннел жай болгон күнгө чейин иштейт, анан эч ким кайталай албаган түрдө мезгил-мезгили менен иштебей калат. Көз карандылыкка негизделген тартип божомолду алып салат жана көз карандылыкты бир жолу сүрөттөөдөн башка эч нерсеге турбайт. Интерфейс аттары да тартип механизми эмес.
Ядро tun0 жана tun1 сыяктуу аттарды түзүлүү тартиби менен берет, жана бул тартип кайра жүктөөлөр же кайра туташуулар ортосунда өзгөрүшү мүмкүн. Конфигурацияны курал сунуштаган инсандыкка же өзүңүз атайын берген атка байлаңыз. Сиз тандаган ат — келишим; ядро тандаган ат — кокустук.
Ар бир клиенттин ташылышын экинчисинин колдонмо маршрутунан тышкары кармаңыз жана OpenVPN 2.6 маршруттоо параметрлери чындыгында эмнени убада кылаары тууралуу так болуңуз. Документтелген демейки багыттоо механизми клиенттин өз алыскы шеригине мурунтан бар дарбаза аркылуу жетүү жөндөмүн сактайт, бул бир конкреттүү рекурсия циклинин үзөт. Ал бир клиентти экинчисинин ташуучусуна айландырбайт, ошондуктан чынжырдын калган бөлүгү сиздин долбооруңуз бойдон калат. Чынжырга маршрут эмес, саясат керек болгон жерде ачык булак же белги эрежесин жазыңыз жана аны туура келиши керек болгон трафик менен сынаңыз.
Сырткы секирик өлгөндө эмне болот
Чынжыр толук деп эсептелгенге чейин сырткы секирик жок болгондо эмне болорун чечиңиз. Ички клиенттин ташылышы аны менен өлөт, жана кийинки кадам техникалык эмес, саясат суроосу: иштебей калуу, кайра аракет кылуу же физикалык байланыш аркылуу түз кайра туташуу. Ойлонууга татыктуусу — үчүнчү натыйжа. Ал колдонуучу камтуу дагы эле бүтүн деп ишенген учурда эки секириктин долбоорун бир секириктин долбооруна тынч өзгөртөт.
Эгер эки секирик милдеттүү болсо, сырткысы жок болгондо ички клиент түз жолду түзө албашы керек, жана муну билүүнүн жолу — сырткы секирикти бузуп, ичкинин эмне кылаарын байкоо. Бекитилген камдык план — мыйзамдуу жооп, бирок ал жазылышы, сыналышы жана билдирилиши керек. Эч ким документтебеген камдык план окуяны карап чыгууда агымдан айырмаланбайт.
DNS жана экинчи дарек үй-бүлөсү ошол эле чечимге кирет. Жергиликтүү түзүлгөн издөө хосттун өз саясатын ээрчийт, берилген клиенттикин эмес, ошондуктан берилген трафик үчүн иштеген чечүүчү хост өзү колдонгон чечүүчү болбошу мүмкүн.
Ар бир катмарды аны курган тартибиңиз менен кабыл алыңыз
Чынжыр курулган тартип менен сынаңыз: адегенде жалгыз сырткы туннел, анан сырткы туннел аркылуу ички клиенттин ташылышы, анан ички туннел аркылуу колдонмо. Ар бир кабыл алуу мурун ачык болгон барак эмес, жаңы туташуу болушу керек. Анан ар бир катмарды өз-өзүнчө үзүп, калыбына келтириңиз жана кийинкиси эмне кылаарын байкаңыз.
Камдык пландын натыйжасы бул жерде эң баалуу байкоо жана коомдук IP барак эч качан көрсөтпөгөн нерсе. Шериктердин жолдорун, алар колдонгон даректерди жана ошол натыйжаны конфигурациянын жанында сактаңыз, анткени бактылуу жол кийинчерээк суралган бөлүк эмес.