Du OpenVPN klientai viename Linux hoste: kam priklauso maršrutas?

Abu profiliai praneša apie ryšį, ir vienas jų tyliai perduoda srautą, skirtą kitam. Du klientai viename hoste yra palaikoma konfigūracija; du klientai be savininko kiekvienam prefiksui — ne. Darbas mažiau susijęs su antro tunelio pakėlimu ir daugiau su sprendimu, kuris procesas gali pretenduoti į kurį maršrutą. Eikite žemiau nurodyta tvarka, ir konfigūracija išplauks iš atsakymų.

Pradėkite klausdami, kam skirtas antrasis tunelis

Trys situacijos būsenos eilutėje atrodo vienodai ir reikalauja skirtingų sprendimų. Paskirties skirstymas siunčia vieną prefiksą per biuro profilį, o kitą per laboratorijos profilį, ir nė vienas nereikalauja numatytojo maršruto. Pagal programą skirstymas paprastai palieka vieną pilną tunelį ir konkrečią srautą nukreipia politikos taisyklėmis. Perjungimas gedimo atveju palaiko tiksliai vieną tunelį vienu metu, o tai reiškia, kad antrasis neturi startuoti automatiškai.

Užrašykite atvejį prieš atverdami bet kokį konfigūracijos failą, nes tas atsakymas nulemia viską, kas bus toliau.

Dažniausia sulaužyta konfigūracija yra du pilni tuneliai, kurie abu išstūmė numatytąjį maršrutą, kur laimi paskutinis prisijungęs, o pirmasis toliau apsimeta. Tokia būsena būsenos eilutėje atrodo tyčinė ir iššvaisto dieną iš maršrutų lentelės. Pavadinus atvejį pirmiau, jis tampa neįmanomas, o ne tik mažai tikėtinas.

Pažiūrėkite į baseinus prieš maršrutus

Du serveriai lengvai išduoda adresus iš vieno privataus diapazono, ir kai tai daro, klientas lieka su dviem sąsajomis viename prefikse. Tada jokia paskirtis negali būti priskirta sąsajai pagal adresą, nes abi atrodo vienodai teisingos. Pernumeruokite vieną baseiną, o ne išgalvokite taisyklę lygiosioms laužyti.

Patikrinkite ir vietinį tinklą, nes namų ar biuro LAN, persidengiantis su tunelio diapazonu, sukuria tą patį neapibrėžtumą iš kitos pusės. Palyginkite hosto adresus su abiem serverio konfigūracijomis prieš kaltindami klientą. Baseino pakeitimas laboratoriniame serveryje yra penkių minučių pataisa, o politikos maršrutizavimo apėjimas persidengiančiam prefiksui yra nuolatinis mokestis visiems, kurie vėliau skaitys konfigūraciją. Nuspręskite, kurio norite, prieš rinkdamiesi, kur kištis.

Dvi adresų šeimos reiškia du šio patikrinimo ratus. IPv6 baseinai susiduria taip pat tyliai kaip IPv4.

Duokite kiekvienam profiliui savininką

Vienas egzempliorius profiliui, vienas konfigūracijos failas egzemplioriui ir vienas pavadinimas, identifikuojantis porą. Debian stiliaus pakavime pavadinimas po @ ženklo parenka failą, todėl du profiliai, bendrai naudojantys egzemplioriaus pavadinimą, niekada negali veikti abu. Patvirtinkite susiejimą iš įdiegto vieneto, o ne iš pamokos.

systemctl cat [email protected]
ip -4 addr show

Tada nuspręskite, kas įdiegia maršrutus, ir tai yra politikos, o ne sintaksės klausimas.

Kai du serveriai stumia nesuderinamus rinkinius, arba pridėkite route-nopull ir išvardykite tik tuos prefiksus, kurių reikia kiekvienam profiliui, arba leiskite vienam išlaikyti numatytąjį maršrutą ir nukreipkite likusį politikos taisykle. Du procesai, kurie abu įdiegia numatytąjį maršrutą, baigiasi vienu nugalėtoju, ir niekas negali pasakyti kodėl. Kai du tuneliai gabena skirtingų šaltinių srautą, atsakymas gali išeiti ne tuo tuneliu, o modelis, kuris išlaiko, yra ryšio žymė, atkuriama atsakymuose ir nukreipiama į savo lentelę. Apribokite žymes, kad pačių tunelių užšifruoti paketai niekada jų neatitiktų.

Patikrinkite kiekvieną tunelį, tada sustabdykite vieną

Kai abu pakelti, paimkite tris rodmenis: adresą kiekviename tunelio įrenginyje, maršrutą į hostą, kuris gyvena už kiekvieno, ir kelią, kuriuo eitų paskirtis už abiejų ribų. Įprastas maršrutų sąrašas nustoja aprašyti galutinę paiešką, kai tik įsijungia taisyklės, todėl paklauskite branduolio, ką jis iš tikrųjų pasirinktų. Tada sustabdykite vieną egzempliorių ir stebėkite, kas dingsta. Jei pirmojo sustabdymas trukdo antrajam, kažkas vis dar bendra tarp jų: maršrutas, įrenginio pavadinimas ar ugniasienės taisyklė, kurios niekas neatskyrė.

ip rule show
ip route get 203.0.113.9

Grąžinkite sustabdytą profilį ir pakartokite tuos pačius patikrinimus, nes tunelis, kuris po perkrovimo veikia kartą ir daugiau niekada, yra gyvavimo ciklo klaida maršrutizavimo kostiumu.

Užrašykite diegimo pastabose, kuris profilis valdo kurį prefiksą, prie baseinų diapazonų. Du tuneliai yra sąmoninga konfigūracija, ir kitam skaitytojui reikia matyti ribą prieš liesdamas bet kurį profilį. Be šios pastabos ribą iš naujo atranda tas, kas budi, kai bendras prefiksas pagaliau lūžta.