Wien besitzt d’Adress, d’Route, DNS an d’Firewall op enger Linux-VPN?

Zwee Skripten, déi sech ëm déi selwecht Route streiden, sinn déi üblech Form vun engem Linux-VPN-Problem, dat als Routingfeeler agedroen gëtt. Eng Komponent erstellt den Tunnelapparat, eng aner füügt eng Standardroute bäi, eng drëtt schreift d’Resolver-Konfiguratioun ëm, an eng véiert lued d’Firewall-Reegelen nei. Jiddwereng vun hinnen kann d’Aarbecht vun enger anerer réckgängeg maachen, an de Gewënner ass einfach deen, dee lescht gelaf ass. D’Fro, déi et wäert ass ze beäntweren, ass net wéi ee Pak installéiere soll, mä wéi eng Komponent fir all Deel vum Zoustand zoustänneg ass.

Schreift dës Kaart eemol op, an déi meescht Reconnectiounsfeeler ophalen, mysteriéis ze sinn. Véier Objeten zielen: den Apparat an seng Adressen, d’Routen an d’Politikregelen, d’DNS-Konfiguratioun an d’Firewall.

Den Apparat an seng Adressen

En Tunnelapparat gëtt entweder vun engem Manager erstallt, deen de Profil kennt, oder vun engem Daemon, deen een vun Hand gestart huet. Béid Arrangementer funktionéieren eleng; se ze mëschen net. Wann NetworkManager de Profil besitzt, soll en och den Apparat besëtzen, a start net eng onverwalt OpenVPN-Prozess géint dee selwechten Tunnelnumm.

Notéiert, wien den Apparat ewech hëlt, wann d’Sessioun eriwwer ass. En Apparat, deen seng Sessioun iwwerlieft, ass déi heefegst Quell vun alen Adressen an der Duercherneen, déi duerno kënnt.

Routen a Politikregelen

Et sinn d’Routen, wou Besëtzungskonflikter siichtbare Schued maachen. E Verbindungsmanager installéiert eng Standardroute fir den Tunnel plus eng méi spezifesch Route fir de Fernnetz; duerno setzt e handgeschriwwene Skript seng eege Standardroute mat enger anerer Metrik derbäi a gewënnt oder verléiert roueg jee no Timing. Entscheet, wéi eng Entréen un d’Verbindung gebonne sinn, wéi eng permanent Politik sinn, a wéi eng Komponent se no enger Reconnectioun aktualiséiert. Duerno haalt déi aner Komponenten aus dëser Tabell eraus.

Politikregelen verdéngen déiselwecht Kloerheet, well eng Regel, déi op eng Tabell weist, déi keen fëllt, e schwaarzt Lach produzéiert, dat genee wéi en doudegen Tunnel ausgesäit. Wann eng Regel existéiert, fir Verkéier enger Plaz ze zwéngen, muss d’Tabell, déi se auswielt, vum selwechten Eegentümer ënnerhalen ginn.

DNS ass ëmmer en eegene Besëtzer

En Resolver-Daemon leeft als säin eegene Prozess ënner senger eegener Identitéit, dofir ierft en d’Routingentscheedunge vum Tunnel net zoufälleg. Wann d’VPN DNS-Server dréckt, muss eppes dat an eng Konfiguratioun pro Verbindung iwwersetzen, déi de Resolver respektéiert, an eppes muss se duerno erëm ewech huelen.

De Mythos hei ass, datt e Numm-Server an de Profil ze schreiwen ännert, wou d’Ufroe higinn. Et ännert, wat dem Resolver gesot gëtt, net wéi eng Socket de Resolver flossofnotzt. Test mat enger Ufro plus engem Route-Lookup, amplaz der Datei ze vertrauen.

Firewall-Zoustand, a wien en restauréiert

Firewall-Reegelen sinn den Objet, deen am dackste op engem VPN-Host iwwerschriwwe gëtt. E Manager kann NAT- oder Forwarding-Reegelen pro Verbindung dobäisetzen, wärend eng Firewall-Servicede beim Start e gespäicherte Reegelset nei lued an se läscht. Wielt eng eenzeg Autoritéit fir d’Politik a maacht déi aner zu hirem Konsument, oder akzeptéiert, datt en Neistart d’Verhalen roueg ännert. Verbindungsgebonne Ausnamen gehéieren an eng Datei, déi dee selwechten Eegentümer lued, net an eng iptables-Commande, déi beim Troubleshooting getippt gëtt.

Wann Reegelen eng Reconnectioun mussen iwwerliewen, sot et ausdrécklech. Wann net, sot dat och, well den nächsten Ingenieur déi bequemst Äntwert ugeholl wäert.

Liewenszyklus: Start, Reconnectioun, Ofbau

Gitt jiddwer vun dësen dräi Momenter en Eegentümer. Beim Start entscheet, wat d’Viraussetzungen preparéiert a wéi enger Rei. Bei engem mëllen Neistart denkt drun, datt den Apparat kéint iwwerliewen, wärend de Sessiounszoustand net, also muss en Validator lafen an net en Erschaffer. Beim Ofbau entfernt just dat, wat dës Verbindung erstallt huet, well all Route zréckzesetzen oder déi ganz Firewall ze leeren ass net datselwecht wéi ee Tunnel aus dem Service ze huelen.

Fir d’Observatioun weist ip monitor link address route d’Kärännerungen, wéi se geschéien, awer et mëllt Evenementer an net Absicht: eng geläschte Route seet näischt driwwer, wéi ee Prozess se geläscht huet. Pairt et mat der Besëtzkaart, an en duercherneen Shutdown gëtt eng kuerz Lëscht vu Kandidaten.

Ausnamen hunn och e Präis. Eng ganz Apparatsklass als onverwalt ze markéieren, fir engem Konflikt z’entkommen, iwwerléisst deen Zoustand keenem, wat eng Entscheedung ass an net eng Korrektur.