OpenVPN iroute ба цөмийн зам: аль нь дутуу байна?
Серверт зам байгаа ч хөдөлгөөн зогсдог. Замын нэг шийдвэр цөмд, нөгөө нь хамтрагчид хамаарна; аль нь дутууг, юуг шалгахыг мэдээрэй.
10.77.20.0/24 руу явах багц OpenVPN сервер дээр хоёр тусдаа шийдвэр гаргадаг: үйлдлийн систем үүнийг VPN интерфэйс рүү дамжуулах ёстой бөгөөд OpenVPN аль холбогдсон клиент тэр префиксыг эзэмшиж байгааг мэдэх ёстой. Цөмийн зам дутуу бол багц туннелийн өмнө унана, хамтрагчийн зам дутуу бол түүний дараа унана. Хоёр алдаа алслагдсан LAN-аас ижил харагдана, аль нь танд байгааг оношлоход хоёр талд нэг нэгэн команд хэрэгтэй.
Сонгодог хэрэглэгчийн орон зайн өгөгдлийн замд цөмийн зам багцыг туннелийн процесс руу хүргэдэг бөгөөд iroute тэр процессод аль хамтрагч үүнийг хүлээж авах ёстойг хэлдэг. Аль нь ч нөгөөгөө орлохгүй бөгөөд зөвхөн нэгийг нь агуулсан тохиргоо эхний ping хүртэл боломжит харагдана.
Хоёр шийдвэр, нэг зам биш
10.77.20.0/24 нэг клиентийн ард байрлах сайт хоорондын холбоосыг төсөөлөөрэй. Серверийн цөмийн зам, жишээ нь ip route add 10.77.20.0/24 dev tun0, тохирох багцуудыг туннелийн төхөөрөмж рүү илгээдэг. Дараа нь OpenVPN клиентийн тохиргооны хавтас дахь iroute бичлэгүүдээс бүрдсэн өөрийн дотоод хүснэгтийг харж, аль хамтрагчийн холболт тэдгээрийг хүлээж авахыг шийднэ. Цөмийн замгүй бол багц процесс руу хэзээ ч хүрэхгүй, хамтрагчийн замгүй бол процесс руу хүрээд хаашаа ч явахгүй.
Тэр хуваалтыг мартах амархан, учир нь клиентийн профайл дахь нэг замын мөр хоёр ажлыг хоёуланг нь хийдэг мэт харагдаж болно. Тийм биш: замыг түлхэх нь клиентүүдэд туннелээр юу илгээхийг хэлдэг бол iroute серверт клиентийн ард байгаа хаягийн мужийг хэн эзэмшиж байгааг хэлдэг. Тэд өөр өөр файлд амьдардаг, өөр талууд уншдаг, эсрэг чиглэлд бүтэлгүйтдэг.
iroute хаана хамаарах, юу гэж хэлдэг
Бичлэг нь клиентийн common_name-оор нэрлэгдсэн тусдаа клиентийн файлд, client-config-dir дор, iroute 10.77.20.0/24 хэлбэрээр ордог. Файлын нэрийн таарч байх нь гоо сайхны асуудал биш: OpenVPN баталгаажсан таних тэмдгийг хайж, яг тэр нэрээр файлыг уншдаг тул site-a нэртэй файл зөвхөн ерөнхий нэр нь site-a клиентэд л үйлчилнэ. Хэрэв ийм файлгүй клиентүүдийг бүрмөсөн татгалзах бол ccd-exclusive нэмээрэй, клиент бүр сайтын гарц байх үед энэ нь зөв тохиргоо юм. Гарц бүрт нэг файл хадгалж, та бодитоор олгож буй гэрчилгээний субьектээр нэрлээрэй.
Алслагдсан LAN-ыг буруутгахаас өмнө серверээс бичлэгийг шалгаарай. Төлөвийн файл холбогдсон клиентүүдийг тэдний ерөнхий нэртэй хамт жагсаадаг бөгөөд --verb 4-тэй ажиллаж буй сервер хамтрагч холбогдох үед iroute суулгасныг бүртгэдэг. Холбогдох үед юу ч харагдахгүй бол файл буруу хавтаст байна эсвэл буруу таних тэмдгийг зааж байна.
Хавх: файл байгаа, таних тэмдэг буруу
Зөв харагдах iroute буруу хамтрагчид бэхлэгдсэн бол диск дээр бүхэн зөв харагддаг тул файлгүйгээс илүү их цаг үрдэг. Гэрчилгээг дахин нэрлэх, давхардсан ерөнхий нэрс, үр дүнтэй таних тэмдгийг өөрчилдөг username-as-common-name энэ бүгдийг үүсгэдэг. Сервер ямар таних тэмдгийг баталгаажуулсныг шалгаарай, таны хүлээсэн биш: төлөвийн гаралт эрх мэдэлтэй, файлын нэр зөвхөн хайлтын түлхүүр.
Зам эзнээсээ урт насалж болно. Статик замууд болон iroute бичлэгүүд боломжит байдлын баталгаа биш, префиксыг тодорхойлдог тул хөдөлгөөн одоо салсан хамтрагч руу үргэлжлүүлэн чиглэгдэж болно.
Хамтрагчийн цаана хүртэл замыг гүйцээ
Хамтрагчийн эзэмшил бол замын дунд, төгсгөл биш. Клиент туннелээс багцуудыг өөрийн LAN руу дамжуулах ёстой, энэ нь тэр хост дээр IP дамжуулалт идэвхтэй, нэвтрүүлэхийг зөвшөөрсөн галт хананы дүрэм байгааг илэрхийлнэ. Алслагдсан LAN дахь хостнууд туннелийн хаяг руу буцах зам хэрэгтэй: гарц руу буцаж заасан зам, эсвэл клиентийн талд санаатай зохиосон NAT. Тархалтын өгөгдмөл утгыг таамаглахын оронд клиент дээрх дамжуулалтын тохиргоог sysctl net.ipv4.ip_forward-оор баталгаажуулаарай.
Бусад VPN клиентүүд тэр дэд сүлжээнд хүрэх ёстой бол зохион байгуулалт дахин өснө: серверт client-to-client хэрэгтэй бөгөөд тэдгээр клиентүүд префиксыг туннелээр чиглүүлэх ёстой. Эдгээрийн аль нь ч серверийн өөрийн замын хүснэгтээс гарахгүй.
Нэг очих газрыг серверээс биш, бодит эх сурвалжаас шалгаарай. Хамааралгүй LAN хостноос клиентийн ард байгаа хост руу ping нэг хөдөлгөөнөөр буцах зам, дамжуулалтын дүрэм, хамтрагчийн эзэмшлийг шалгадаг бол амжилттай handshake зөвхөн таних тэмдгийг нотолдог. Дараа нь эзэмшигч хамтрагчийг салгаж, зам юу хийдгийг тэмдэглээрэй, учир нь тэр хариулт нь таны алдааны горим.