Два OpenVPN клиенти на еден Linux домаќин: чиј е маршрутот?

Двата профила пријавуваат поврзување и еден од нив тивко пренесува сообраќај наменет за другиот. Два клиенти на еден домаќин е поддржана поставеност; два клиенти без сопственик за секој префикс не е. Работата е помалку за кревање на вториот тунел и повеќе за одлучување кој процес смее да бара кој маршрут. Поминете по редоследот подолу и конфигурацијата произлегува од одговорите.

Започнете со прашањето за што е вториот тунел

Три ситуации изгледаат исто на линијата за состојба и бараат различни решенија. Поделбата по дестинации испраќа еден префикс низ канцеларискиот профил, а друг низ лабораторискиот, при што ниту еден не бара стандарден маршрут. Поделбата по апликација обично држи еден полн тунел и насочува одреден сообраќај со правила за политика. Префрлањето при дефект држи точно еден тунел вклучен во даден момент, што значи дека вториот не смее автоматски да стартува.

Запишете го случајот пред да отворите било која конфигурациска датотека, бидејќи тој одговор одредува сѐ потоа.

Најчестата расипана поставеност е два полни тунели кои двата турнаа стандарден маршрут, каде што победува тој што се поврзал последен, а првиот продолжува да се преправа. Таа состојба изгледа намерно од линијата за состојба и троши еден ден од табелата за рутирање. Ако случајот се именува прв, тој станува невозможен, а не само малку веројатен.

Погледнете ги базените пред маршрутите

Два сервери лесно издаваат адреси од еден приватен опсег, и кога го прават тоа, клиентот завршува со два интерфејси во еден префикс. Тогаш ниту една дестинација не може да се припише на интерфејс по адреса, бидејќи двете изгледаат еднакво точни. Пренумерирајте еден базен наместо да измислувате правило за кршење на нерешеното.

Проверете ја и локалната мрежа, бидејќи домашна или канцелариска LAN што се преклопува со опсег на тунел го создава истото двосмисленост од другата страна. Споредете ги адресите на домаќинот со двете серверски конфигурации пред да го обвините клиентот. Промена на базен на лабораториски сервер е петминутна поправка, додека заобиколувањето со рутирање по политика за преклопен префикс е постојан данок за секој што подоцна ќе ја чита конфигурацијата. Одлучете кое од двете го сакате пред да изберете каде да интервенирате.

Две адресни семејства значат два круга од оваа проверка. IPv6 базените се судираат исто толку тивко како IPv4.

Дајте му на секој профил сопственик

Еден примерок по профил, една конфигурациска датотека по примерок и едно име што го идентификува парот. Во пакувањето во стил на Debian името по знакот @ ја избира датотеката, поради што два профила што делат име на примерок никогаш не можат да работат и двата. Потврдете го мапирањето од инсталираната единица, а не од туторијал.

systemctl cat [email protected]
ip -4 addr show

Потоа одлучете кој инсталира маршрути, што е прашање на политика, а не на синтакса.

Кога двата сервери туркаат некомпатибилни множества, или додајте route-nopull и наведете ги само префиксите што му се потребни на секој профил, или оставете еден да го задржи стандардниот маршрут и насочувајте го остатокот со правило за политика. Два процеси што и двата инсталираат стандарден маршрут завршуваат со еден победник и никој не може да каже зошто. Штом двата тунели пренесуваат сообраќај за различни извори, одговорот може да излезе низ погрешниот, а моделот што издржува е ознака за врска вратена на одговорите и насочена во сопствената табела. Ограничете ги ознаките така што сопствените шифрирани пакети на тунелите никогаш не се совпаѓаат со нив.

Проверете по тунел, потоа запрете еден

Кога двата се горе, земете три читања: адресата на секој тунелски уред, маршрутот до домаќин што живее зад секој од нив и патеката што би ја земал дестинација надвор од двата. Обичната листа на маршрути престанува да го опишува финалното пребарување штом правилата влезат во игра, затоа прашајте го јадрото што навистина би го избрало. Потоа запрете еден примерок и гледајте што исчезнува. Ако запирањето на првиот го вознемирува вториот, нешто сѐ уште е заедничко меѓу нив: маршрут, име на уред или правило за огнен ѕид што никој не го одвоил.

ip rule show
ip route get 203.0.113.9

Вратете го запрениот профил и повторете ги истите проверки, бидејќи тунел што работи еднаш по рестартирање и никогаш повеќе е грешка во животниот циклус во костим за рутирање.

Запишете во белешките за распоредување кој профил поседува кој префикс, покрај опсезите на базените. Два тунели се намерна поставеност, а следниот читател треба да ја види границата пред да допре било кој профил. Без таа белешка, границата ја открива повторно тој што е на дежурство кога заедничкиот префикс конечно се крши.