Eng eenzeg Déngscht-IP op all OpenVPN-Knuet: wat se net mécht

E Client verbënnt sech mat engem vu méi OpenVPN-Serveren an brauch dann en klengen Déngscht, deen op deem Knuet leeft: eng Statussäit, en Metrik-Endpunkt, en Backup-Agent. All Knuet déi selwecht privat Déngschtadress ze ginn, mécht d'Konfiguratioun vum Client identesch, egal op wéi engem Server en ukomm ass. Dës Bequemlechkeet ass reell, an et ass och einfach, se ze vill ze interpretéieren: déi gemeinsam Adress seet Iech, wéi enge Knuet Dir erreecht hutt, net datt eppes redundant ass.

Firwat déi selwecht Adress op all Knuet funktionéiert

All Knuet besëtzt d'Adress lokal a gëtt Äntwert drop, sou datt e Client, deen se duerch säin aktuellen Tunnel erreecht, den Déngscht um aneren Enn vun deem Tunnel kritt. Tëscht de Kniet gëtt näischt koordinéiert, an et geet keen Trafik vun engem Knuet op den aneren.

D'Adress ass en lokale Label, widderholl an net kopéiert. All Knuet äntwert nëmme fir sech selwer, an keen vun hinnen weiderleet Trafik fir d'Adress am Numm vun engem anere Knuet. Dat hält eng Client-Konfiguratioun gülteg, während d'Serveren onofhängeg bleiwen. Et ass och de Grond, firwat den Design keng Koordinatioun tëscht de Kniet brauch.

Dofir funktionéiert déi selwecht Konfiguratioun op all Server ouni Routingprotokoll tëscht hinnen. Et ass och de Grond, firwat den Design näischt iwwer Gesondheet seet: d'Adress existéiert op engem kranke Knuet genee sou wéi op engem gesonde, well se un den Host gebonne ass an net dorun, datt den Déngscht nëtzlech ass.

Gitt se dem Loopback, net dem Tunnel

D'Adress op eng Loopback-Interface ze leeën entkoppelt se vun der Liewensdauer vun engem Tunnelapparat, sou datt eng Neiverbindung oder e Nei-Luede vun der Konfiguratioun se net ewech hëlt. D'Adress existéiert sou laang wéi den Host.

Eng Adress um lo ass kee Filter. Den Déngscht muss ëmmer nach drop lauschteren, an d'Firewall vum Host bewäert ëmmer nach de reelle Wee eraus, deen iwwer d'Tunnel-Interface erakomm ass. Wien unhëlt, Loopback bedeit nëmme lokal, blockéiert am Schluss entweder legitim Clienten oder weist eppes, wat en net virgesinn hat.

Maacht d'Zouweisung duerch d'Netzwierkkonfiguratioun vum Host dauerhaft, amplaz se aus engem Hook erëm ze addéieren. E Setup-Hook geet net op engem Knuet un, wou keen Tunnel eropkomm ass, an d'Déngschtadress soll net vun der Tunnelaktivitéit ofhänken. Setzt d'Adress an d'Interface-Konfiguratioun, déi Är Distributioun verwalt, start dann eemol nei a kontrolléiert se. En Neistart ass deen eenzegen Test, deen eng spéider Konfiguratiounsännerung iwwerlieft.

ip address show dev lo | grep 10.250.0.1
ip address add 10.250.0.1/32 dev lo

Dréckt eng Route an mengt een Zil

De Client brauch eng Host-Route fir d'Adress, ugebueden vun deem Server, mat deem en sech verbënnt. Well all Server dat selwecht Zil ubitt, ännert de Profil sech net, wann de Client sech beweegt.

Kontrolléiert, wat de Client installéiert huet, ier Dir den Déngscht beschëllegt.

ip route get 10.250.0.1

Fir en HTTP-Déngscht gitt der Adress en Numm an en Zertifikat fir deen Numm. D'gedeelt IP ass keng Identitéit, an se hëlt d'TLS-Prüfung net ewech, nach justifiéiert se d'Kopéiere vun engem private Schlëssel op all Knuet. En Numm, deen op déi gedeelt Adress opléist, hält d'Zertifikatsgeschicht gewéinlech a léisst Iech eng Identitéit pro Knuet behalen, wann Dir eng braucht.

Wat déi gedeelt Adress net kann

Se bitt kee Failover. Stierft de gewielte Knuet, stierft d'Adress mat him, an de Client muss sech soss néierens erëm verbannen.

Se migréiert keng lieweg TCP-Sessioun, well eng nei Verbindung op engem aneren Host endet, deen näischt vun der aler weess.

Se wielt keen gesonde Knuet, balancéiert keng Belaaschtung a synchroniséiert keng Daten tëscht de Kniet. Jiddwerengem dovun ass en eegene Mechanismus mat sengen eegene Feelfäll, an ze maachen, wéi wann den Adressentrick se deckt, ass de Wee, wéi en einfachen Design en onverdéngte Ruff fir Robustheet kritt. Wann zwee Tunnelen gläichzäiteg aktiv sinn, gëtt d'Bedeitung vum Zil zweedeiteg, dofir haalt d'Anhuelung vun engem eenzegen aktiven Tunnel explizit.

Haalt d'Identitéit vum Déngscht beim Numm

Schreift op, wat d'Adress bedeit: se erreecht den Déngscht op deem Knuet, mat deem de Client just verbonnen ass. Deen eenzege Saz verhënnert de gréissten Deel vum Mëssverständnis, dat dëst Muster unzéit.

Dokumentéiert duerno d'Deeler zesummen: d'Adress, d'Interface op där se läit, d'Route déi de Server dréckt, an den Numm an den Zertifikat, deen den Déngscht presentéiert. Véier kleng Fakten, déi en zukünftege Lieser verifizéiere kann, an der Rei, an där en se kontrolléiere wäert.

Wann d'Fuerderung en stabilt Zil fir en Knuet-lokalen Déngscht ass, passt d'Muster a kascht bal näischt.

Wann d'Fuerderung d'Disponibilitéit ass, gitt eng Schicht méi héich: en Load Balancer, en Déngschtnumm mat Gesondheetsprüfungen, oder en Orchestratiounssystem, deen scho weess, wéi een Knuet ersetzt.

Dat fréi ze entscheeden hält déi gedeelt Adress dat, wat se ass, en bequemen Label, amplaz eng Komponent, vun där roueg erwaart gëtt, Aarbecht ze maachen, fir déi se ni designéiert gouf.