Zwee Déngschtadressen op engem OpenVPN-Client: iroute an lo

D’Applikatioun äntwert op hirer Tunneladress, an d’Adress, déi Dir dofir dokumentéiert hutt, féiert néierens hin. Nichts am OpenVPN-Log beschwéiert sech, de Peer erschéngt verbonnen, an den Hub lëscht genau ee Client. D’Lück ass, datt eng zweet Adress op engem Client zwee getrennte Fakten sinn: den Host muss si besëtzen, an den Hub muss wëssen, wéi ee Peer si besëtzt. Behandelt een ouni deen aneren, an den Traffic stierft buer beim Hub oder kënnt ouni Wee heem un.

Den Alias ass lokal, de Besëtz ass wäit ewech

Eng Tunneladress gëtt ausgehandelt, sou datt béid Säiten se während dem Handshake léieren. Eng zousätzlech Déngschtadress gëtt iwwerhaapt net ausgehandelt, dofir ännert hiren Derbäisetzen um Hub fir sech genen näischt. De Client kann d’Adress direkt besëtzen, an de Server schéckt deen Traffic trotzdem op säi Standardwee oder verwërft en. Et misse zwou Notizen ugeluecht ginn, op zwou verschiddene Plazen.

Um Client gehéiert d’Adress zum Host, an Loopback ass de natierlechen Doheem fir eng Déngschtidentitéit, déi ni op enger physescher Verbindung erschéngen däerf. Um Hub ass d’Peer-zu-Präfix-Mappung eng separat Deklaratioun, déi nëmmen de Server liest. Keng vun den zwou Notizen implizéiert déi aner.

Halt déi zwou Beräicher och an Ären Notizen auserneen. Adressen an engem Beispill si Dokumentatiounswäerter, an se mat engem richtege LAN ze iwwerlaapen ass de séiersten Wee, eng funktionéierend Konfiguratioun futti ausgesinn ze loossen.

Setzt d’Adress um Client dauerhaft derbäi

Setzt d’Déngschtadress mat engem Host-Präfix op Loopback, sou datt den Host se als lokal Input behandelt an net als Subnetz, dat erreecht muss ginn. ip address add 10.66.0.10/32 dev lo mécht dat fir eng Adress, an d’Widderhuelen vum Kommando fir eng zweet Adress modelléiert zwee Déngschter.

Fuert dat als eemolegen Test aus, a réckelt et duerno an dat, wat d’Netzwierkkonfiguratioun vum Host besëtzt, well eng Derbäisetzen zur Lafzäit beim Neistart verschwënnt an Duplikater sech iwwer Neiverbindunge sammelen. Eng systemd-Eenheet, déi nom Netzwierk ugeuerdnt ass, ass eng Optioun, an en Netzwierkmanager vun der Distributioun eng aner. Wat Dir och wielt, d’Adress muss existéieren, ier d’Applikatioun sech verbënnt, soss kënnt den Déngscht um falsche Socket erop. Iwwerpréift mat ip address show dev lo nom Neistart an net nom manuelle Kommando.

Bannen ass eng Entscheedung getrennt vum Adresséieren. Eng Applikatioun, déi op all Adress lauschtert, akzeptéiert Traffic op Interface, déi Dir ni virgesinn hutt, also riicht se op déi spezifesch Déngschtadress. Dann huet déi lokal Inputpolitik eppes Genaues fir ze passen.

Fuerdert se an der CCD-Datei, déi den Hub tatsächlech liest

Um Server geet d’Besëtzdeklaratioun an d’Datei pro Client, déi vum authentifizéierte gemeinsamen Numm ausgewielt gëtt, bannen am Verzeechnis, dat vum client-config-dir genannt gëtt. D’Linn ass iroute 10.66.0.10 255.255.255.255, eng pro Adress, an se soot dem Server, wéi ee Peer den Traffic fir deen Zil kréie soll.

Zwee Detailer briechen dat stëll. Den Dateinumm muss mam Numm iwwerenee stëmmen, deen de Server tatsächlech benotzt, an deen ass anescht, wann username-as-common-name am Spill ass. An iroute gëllt nëmmen am TUN-Modus mat engem konfiguréierte Client-Konfiguratiounsverzeechnis, dofir mécht déiselwecht Linn an enger iwwerbréckter Installatioun näischt. Setzt Linne bei déi existent Datei derbäi amplaz se z’ersetzen, well se schonn eng fix Adress oder push-Optiounen droen kann. D’OpenVPN-2.6-Referenz dokumentéiert souwuel d’Verzeechnis wéi och d’Besëtzdirektiv.

Dem Hub säin eegene Kernel brauch och e Wee zu deenen Ziler, sou datt lokal generéierten Traffic an den Tunnelprozess kënnt. route 10.66.0.10 255.255.255.255 an der Serverkonfiguratioun deckt Traffic of, deen de Server selwer erzéit, wärend aner Cliente push "route 10.66.0.10 255.255.255.255" brauchen, fir d’Zil selwer ze léieren.

Routing an Autorisatioun bleiwen getrennt. Eng gepushte Route soot engem Client, wouhi Pakete geschéckt solle ginn, a gëtt näischt; den Déngscht muss den Uruffer nach ëmmer zu sengen eege Bedingungen akzeptéieren.

Iwwerpréift d’Inputpolitik an de Zréckwee

E Paket, dat un den Alias adresséiert ass, kënnt um besëtzenden Host als lokal Input un, also ass d’Fro, ob déi lokal Firewall déi Quell an dee Port erlaabt. Erlaabt de spezifesche Déngschtport aus dem VPN-Quellberäich amplaz déi ganz Adress opzemaachen.

Äntwerten brauchen e Wee zréck zum Uruffer. Fir en Uruffer am normale Tunnelsbecken existéiert dee Wee schonn, well den Tunnelapparat en dréit. En Uruffer hannert engem aneren gerouteten Netzwierk brauch och de Retourwee vun deem Netzwierk, an hei verléieren asymmetresch Konfiguratiounen Paketen.

Gitt op e zweeten Nolauschterer um selwechte Port opgepasst, deen un eng aner Adress gebonnen ass, well de Kernel un dee Socket liwwert, dee passt, an d’Resultater zufälleg ausgesinn. Iwwerpréift mat ss -lntp a bestätegt, datt déi gebonnen Adress den Déngschtalias ass. Source-NAT ass hei net néideg, an en derbäizesetzen verstoppt d’Identitéit vum Uruffer, op déi Är Loggen ugewise sinn.

Test Adressen a Besëtz getrennt

Test an zwee Schrëtt. Bestätegt fir d’éischt, datt de besëtzenden Host den Déngscht op sengem Alias vu sech selwer erreeche kann, wat Bann- a Firewallproblemer vum Routing trennt. Test dann vun engem richtege VPN-Uruffer mat der Authentifikatioun vun der Applikatioun selwer. Wann dat éischt duerchgeet an dat zweet feelt, ass dat fehlend Stéck op der Hubsäit.

Iwwerpréift och d’Feelermodi, déi eng Verbindung iwwerliewe: den Alias bleift zougewisen, wann den Tunnel ënnen ass, an den Hub behält seng Route, wann de Peer feelt. Kee vun den Objete beweist eleng, datt den Déngscht erreechbar ass, dofir schléit den Zwee-Schrëtt-Test en eenzege Ping vun engem Laptop.