OpenVPN iwwer TCP an UDP vun engem Host aus ubidden
Een Prozess bënnt een Transport virun 2.7. Vergläicht e bréckte TAP-Puer, zwee TUN-Subnetzer an e gedeelte Pool, a passt dann all Profil u säin Hörer un.
Netzwierker déi nëmmen TCP 443 erlaben, existéieren nieft Netzwierker déi UDP ouni Problemer duerchloossen, an ee Server muss béid bedéngen. E Profil mat proto udp äntwert der zweeter Grupp a fält bei der éischter, an déi selwecht Konfiguratioun z'änneren fir proto tcp ze soen, schaaft keen zweete Hörer. D'Direktiv wielt een Transport fir een Prozess. Alles anescht kënnt aus dëser Aschränkung.
Entweder bedreift Dir méi wéi ee Prozess, oder Dir bedreift eng Versioun déi méi Sockelen op eemol bënne kann.
Een Prozess bënnt een Transport virun 2.7
D'OpenVPN vun der Communautéit bënnt de Sockel deen proto beschreift, an déi Direktiv wielt een Transport fir d'Instanz. TCP an UDP sinn getrennten Stapelen, dofir kann déiselwecht Portnummer vun béide gläichzäiteg besat ginn, awer net vun engem Prozess. D'2.6-Linn gëtt Iech dofir een Transport pro Daemon. OpenVPN 2.7 huet déi Aschränkung fir Serveren opgehuewen, déi méi Sockelen duerch méi --local Aussoen an engem Prozess bënne kënnen.
Préift d'Versioun ier Dir ëm eng vun deenen zwou Äntwerten designéiert, well d'2.7-Arrangement en aneren operationelle Modell mat senger eegener Konfiguratiounssyntax ass. E Guide fir 2.6 beschreift zwee Prozesser, och wann en dat net seet.
Dräi Weeër fir zwou Instanzen ze bedreiwen
Mat TAP-Interfacen bedreift Dir eng Instanz pro Transport a bréckt déi zwou tap-Apparater um Host. Béid Clientsgruppen landen an der selwechter Broadcast-Domän, wat engem Adresspool erlaabt se ze decken an d'Protokollen déi vu Broadcast ofhänken am Laf ze halen. Mat TUN ass d'Bréck net verfügbar, dofir gëtt déi einfachst Deelung all Instanz hiren eegene Subnetz a léisst d'Routen déi zwou Clientsgruppen auserneen. Eng drëtt Optioun hält een Pool, andeem all Instanz e learn-address Skript opruffe léisst, dat eng /32-Route fir de Client iwwer den Apparat vun där Instanz installéiert.
Déi drëtt Arrangement ass dat, no deem d'Leit froen, an dat déi meescht Suerg brauch, well d'Skript en Deel vum Datewee gëtt an d'Evenementer dobäizemaachen, aktualiséieren an läschen richteg muss behandelen.
| Arrangement | Interfaces | Address pool | Cost |
|---|---|---|---|
| Bridged TAP pair | Two tap devices joined by a bridge | One shared pool | Broadcast traffic and bridge maintenance |
| Two TUN subnets | Two tun devices, no bridge | One pool per instance | Routing rules and two plans |
| Shared pool with routes | Two tun devices plus a hook | One pool across both | A script on the data path |
Halt déi zwou Instanzen auserneen
All Instanz brauch och en eegene Port oder eng eegen Adress, eng eegen Statusdatei an en eegen Log-Zil. Zwee Daemone déi an déi selwecht Statusdatei schreiwen, produzéieren eng Ausgab déi bei engem Tëschefall net ka gelies ginn, an dat ass genee wéini Dir se braucht. Wann eng zweet Instanz eng spezifesch Adress bënnt, muss déi Adress um Host existéieren wann de Prozess start, soss verléisst en mat engem Bind-Feeler ier en eppes iwwer Schlësselen seet.
Nennt d'Unitéiten an d'Profiler sou, datt den Transport aus dem Dateinumm kloer ass. Den nächsten Operateur sollt net missen eng Konfiguratioun opmaachen fir ze wëssen wéi eng TCP ass.
Passt de Profil un den Hörer un
En Server deen proto tcp bedreift, erwaart e Clientprofil mat proto tcp-client, an e Profil deen nach proto udp dréit géint deen Hörer lafet ouni engem Feeler deen de Benotzer ka behiewen an d'Zäit eraus. Halt zwee Profiler wann d'Deployment béid Transporter ubitt, a labeléier se sou datt den Support weess wéi en probéiert gouf. D'Portnummer eleng beschreift den Transport net.
Firewall-Regele follegen därselwechter Deelung: eng Regel fir UDP 1194 seet näischt iwwer TCP 1194, an eng Regel fir eng Adress deckt den aneren Hörer net.
Liest d'éischt d'Bild vum Server
Fänkt mat ss -lntup um Server un a bestätegt datt souwuel en TCP- wéi en UDP-Hörer erschéngt. Verbënnt dann ee Client vun all Zort a préift d'Statusausgab op zwee Aschreiwungen mat ënnerschiddlechen Adressen. Wann d'Sockelen existéieren an kee Client kënnt, refuséiert den Wee oder d'Firewall d'Pakete ier den Daemon se gesäit.
E Sockel deen ni erschéngt ass e Konfiguratiouns- oder Bind-Problem, an e Sockel deen erschéngt awer ni eng Verbindung logt ass e Filterproblem. Déi zwou gesinn aus dem Client d'selwecht aus, dofir kënnt dem Server säi eege Bild als éischt. Denkt drun datt TCP Head-of-Line-Blockéierung dréit, dofir ass et unzebidden eng Moossnam fir d'Erreechbarkeet an net en Upgrade fir Cliente mat engem proppere UDP-Wee.