Zwee OpenVPN-Clienten op engem Linux-Host: wiem gehéiert d’Route?

Béid Profiler mellen eng Verbindung an een dovun transportéiert still Traffic, deen fir deen aneren geduecht ass. Zwee Clienten op engem Host ass eng ënnerstëtzte Arrangement; zwee Clienten ouni Eegentümer fir all Prefix net. D’Aarbecht geet manner ëm den zweeten Tunnel eropzebréngen an méi ëm d’Entscheedung, wéi ee Prozess wéi eng Route beanspruche kann. Gitt der Reihenfolg hei drënner no an d’Konfiguratioun follegt aus den Äntwerten.

Fänkt mat der Fro un, wofir den zweeten Tunnel ass

Dräi Situatiounen gesinn op der Statuslinn d’selwecht aus an brauchen ënnerschiddlech Designen. Eng Opdeelung no Destinatiounen schéckt een Prefix duerch de Büro-Profil an en aneren duerch de Labor-Profil, ouni datt ee vun deenen zwéin eng Standardroute beansprucht. Eng Opdeelung pro Applikatioun behält meeschtens een kompletten Tunnel a leet bestëmmten Traffic mat Politikregelen ëm. D’Failover hält genee een Tunnel zur Zäit un, wat heescht, datt den zweeten net automatesch starte soll.

Schreift de Fall op, ier dir eng Konfiguratiounsdatei opmaacht, well déi Äntwert decidéiert alles duerno.

Déi heefegst futti Arrangement sinn zwee komplett Tunnelen, déi allebéid eng Standardroute gedréckt hunn, wou deen, deen als leschten ugeschloss huet, gewënnt an den éischten weiderhin esou deet wéi wann. Dee Zoustand gesäit vun der Statuslinn aus absichtlech aus a verschwënnt en Dag aus der Routingtabell. De Fall als éischten ze nennen, mécht en onméiglech an net just onwahrscheinlech.

Kuckt op d’Pools virun de Routen

Zwee Serveren kennen einfach Adressen aus engem private Beräich verdeelen, an wann se dat maachen, ass de Client mat zwou Interfaceen an engem eenzegen Prefix fäerdeg. Keng Destinatioun kann dann enger Interface no der Adress zougeschriwwe ginn, well béid gläich richteg ausgesinn. Nummeréiert een Pool nei, amplaz eng Regel ze erfinde fir de Gläichstand ze briechen.

Kuckt och op den lokalen Netz, well en Heem- oder Büro-LAN, deen en Tunnelberäich iwwerdeckt, déi selwecht Ambiguitéit vun der anerer Säit schaaft. Vergläicht d’Adressen um Host mat béide Serverkonfiguratiounen, ier dir de Client beschëllegt. Eng Poolännerung op engem Laborserver ass eng fënnefminutteg Korrektur, wärend en Ëmwee iwwer Politik-Routing fir en iwwerdeckten Prefix eng permanent Steier fir all deejenegen ass, deen d’Konfiguratioun spéider liest. Entscheet, wéi eng vun deenen zwee dir wëllt, ier dir wielt, wou dir agräift.

Zwee Adressfamillje bedeiten zwee Ronnen vun dëser Kontroll. IPv6-Pools kollidéieren esou stëll wéi IPv4.

Gitt all Profil en Eegentümer

Eng Instanz pro Profil, eng Konfiguratiounsdatei pro Instanz an een Numm, deen d’Puer identifizéiert. Bei Debian-Stil Pakéierung wielt den Numm nom @-Zeechen d’Datei, dofir kënnen zwee Profiler, déi en Instanznumm deelen, ni béid funktionéieren. Bestätegt d’Mapping aus der installéierter Eenheet an net aus engem Tutorial.

systemctl cat [email protected]
ip -4 addr show

Duerno entscheet, wien d’Routen installéiert, wat eng Fro vun der Politik an net vun der Syntax ass.

Wann déi zwee Serveren inkompatibel Sätz drécken, da füügt entweder route-nopull derbäi a lëscht nëmmen d’Prefixen op, déi all Profil brauch, oder loosst een seng Standardroute behalen an leet de Rescht mat enger Politikregel ëm. Zwee Prozesser, déi allebéid eng Standardroute installéieren, enden mat engem eenzegen Gewënner an keen kann soen firwat. Soubal déi zwee Tunnelen Traffic fir verschidde Quellen transportéieren, kann eng Äntwert duerch de falschen erausgoen, an d’Muster, dat hält, ass eng Verbindungsmark, déi op Äntwerten restauréiert an an hir eege Tabell geleet gëtt. Begrenzt d’Marken esou, datt d’Tunnelen hir eege verschlësselt Paketen ni mat hinne passen.

Iwwerpréift pro Tunnel, stoppt dann een

Wann béid uewen sinn, hëlt dräi Liesungen: d’Adress op all Tunnelgerät, d’Route zu engem Host, deen hannert jiddwerengem lieft, an de Wee, deen eng Destinatioun ausserhalb vun deenen zwee huele géif. Eng gewéinlech Routenlëscht hält op, déi final Sich ze beschreiwen, soubal Regele am Spill sinn, also frot de Kernel, wat hie wierklech wielen géif. Stoppt dann eng Instanz a kuckt, wat verschwënnt. Wann d’Stoppe vun der éischter déi zweet stéiert, ass nach eppes tëschent hinnen gedeelt: eng Route, en Apparatennumm oder eng Firewallregel, déi keen getrennt huet.

ip rule show
ip route get 203.0.113.9

Brénge de gestoppte Profil zréck a widderhëlt déi selwecht Kontrollen, well en Tunnel, deen no engem Neistart eemol funktionéiert an ni méi, e Liewenszyklusfehler am Routing-Kostüm ass.

Notéiert an den Deploymentsnotizen, wéi ee Profil wéi ee Prefix besëtzt, nieft de Poolberäicher. Zwee Tunnelen sinn eng bewosst Arrangement, an de nächste Lieser muss d’Grenz gesinn, ier en ee vun de Profiler beréiert. Ouni déi Notiz gëtt d’Grenz vun deemjenegen nei entdeckt, deen um Déngscht ass, wann de gedeelten Prefix endlech brécht.