Нэг Linux хост дээрх хоёр OpenVPN клиент: маршрут хэнийх вэ?

Хоёр профайл хоёулаа холбогдсон гэж мэдээлж, нэг нь нөгөөд зориулсан трафикийг чимээгүй зөөж байна. Нэг хост дээр хоёр клиент дэмжигддэг зохион байгуулалт; префикс бүрт эзэнгүй хоёр клиент тийм биш. Ажил нь хоёр дахь туннелийг өргөхөөс илүү аль процесс аль маршрутыг шаардаж болохыг шийдэхэд чиглэнэ. Доорх дарааллаар явбал тохиргоо хариултаас гарна.

Хоёр дахь туннель юунд зориулагдсаныг асуугаад эхэл

Гурван нөхцөл байдал төлөвийн мөрөнд ижил харагдах бөгөөд өөр өөр шийдэл шаарддаг. Очих газраар хуваах нь нэг префиксыг оффисын профайлаар, нөгөөг лабораторийн профайлаар илгээх бөгөөд аль нь ч өгөгдмөл маршрут шаардахгүй. Аппликейшнээр хуваах нь ихэвчлэн нэг бүрэн туннелийг үлдээж, тодорхой трафикийг бодлогын дүрмээр чиглүүлдэг. Гэмтэл гарсан үед шилжих нь нэгэн зэрэг яг нэг туннелийг ажиллуулдаг бөгөөд энэ нь хоёр дахь нь автоматаар эхлэх ёсгүй гэсэн үг.

Аливаа тохиргооны файл нээхээс өмнө кейсийг бичиж аваарай, учир нь тэр хариулт дараагийн бүхнийг тодорхойлно.

Хамгийн түгээмэл эвдэрсэн зохион байгуулалт нь хоёулаа өгөгдмөл маршрут түлхсэн хоёр бүрэн туннель бөгөөд сүүлд холбогдсон нь ялж, эхнийх нь дүр эсгэсээр байдаг. Тэр төлөв төлөвийн мөрнөөс санаатай мэт харагдаж, маршрутын хүснэгтээс нэг өдрийг үрэгдүүлдэг. Кейсийг эхлээд нэрлэвэл энэ нь зөвхөн магадлал бага биш, боломжгүй болдог.

Маршрутаас өмнө пулуудыг хар

Хоёр сервер нэг хувийн мужаас хаягийг амархан олгож чаддаг бөгөөд тэгэх үед клиент нэг префикс дотор хоёр интерфейстэй үлддэг. Тэгвэл аль ч очих газрыг хаягаар интерфейст хамааруулж болохгүй, учир нь хоёулаа адил зөв харагддаг. Тэнцлийг эвдэх дүрэм зохиохоос илүү нэг пулыг дахин дугаарлаарай.

Орон нутгийн сүлжээг ч шалгаарай, учир нь туннелийн мужийг давхцсан гэр эсвэл оффисын LAN нөгөө талаас ижил тодорхойгүй байдлыг үүсгэдэг. Клиентийг буруутгахаас өмнө хост дээрх хаягийг хоёр серверийн тохиргоотой харьцуул. Лабораторийн сервер дээр пул солих нь таван минутын засвар, харин давхцсан префикст бодлогын маршрутжуулалтын тойрог зам нь дараа нь тохиргоог унших хүн бүрт байнгын татвар юм. Хаана оролцохоо сонгохоос өмнө эдгээрийн алийг нь хүсэхээ шийдээрэй.

Хоёр хаягийн бүлэг гэдэг нь энэ шалгалтын хоёр тойрог. IPv6 пулууд IPv4 шиг чимээгүй мөргөлддөг.

Профайл бүрт эзэн өг

Профайл бүрт нэг инстанц, инстанц бүрт нэг тохиргооны файл, хосыг тодорхойлох нэг нэр. Debian хэв маягийн багцад @ тэмдгийн дараах нэр файлыг сонгодог тул ижил инстанцын нэрийг хуваалцсан хоёр профайл хэзээ ч хоёулаа ажиллаж чадахгүй. Буулгалтыг заавраас биш, суулгасан нэгжээс баталгаажуул.

systemctl cat [email protected]
ip -4 addr show

Дараа нь маршрутыг хэн суулгахыг шийд, энэ нь синтакс биш бодлогын асуудал.

Хоёр сервер нийцэхгүй багцыг түлхэх үед нэг бол нэм route-nopull мөн профайл бүрт хэрэгтэй префиксүүдийг л жагсаа, эсвэл нэг нь өгөгдмөл маршрутаа хадгалуулж,үлдсэнийг бодлогын дүрмээр чиглүүл. Хоёулаа өгөгдмөл маршрут суулгадаг хоёр процесс нэг ялагчтай дуусах бөгөөд хэн ч яагаад гэдгийг хэлж чадахгүй. Хоёр туннель өөр эх сурвалжийн трафикийг зөөж эхлэхэд хариулт буруу туннелээр гарч болох бөгөөд тэсвэрлэдэг загвар нь хариултууд дээр сэргээгдэж, өөрийн хүснэгт рүү чиглэгддэг холболтын тэмдэг юм. Туннелүүдийн өөрсдийн шифрлэгдсэн пакетууд тэдгээрт хэзээ ч таарахгүйн тулд тэмдгүүдийг хязгаарла.

Туннель бүрээр шалгаад, дараа нь нэгийг зогсоо

Хоёулаа өргөгдсөн үед гурван уншилт ав: туннелийн төхөөрөмж бүр дээрх хаяг, тус бүрийн ард амьдардаг хост руу хүрэх маршрут, хоёрын гаднах очих газар авах зам. Дүрэм тоглоомд орсон даруйд энгийн маршрутын жагсаалт эцсийн хайлтыг дүрслэхээ болино, тиймээс цөмөөс энэ нь үнэхээр юу сонгохыг асуу. Дараа нь нэг инстанцыг зогсоож, юу алга болохыг хар. Эхнийхийг зогсооход хоёр дахь нь санаа зоввол тэдний хооронд ямар нэг зүйл хуваагдсан хэвээр байна: маршрут, төхөөрөмжийн нэр, эсвэл хэн ч тусгаарлаагүй галт хананы дүрэм.

ip rule show
ip route get 203.0.113.9

Зогсоосон профайлыг буцааж, мөн шалгалтуудыг давт, учир нь дахин ачаалсны дараа нэг удаа ажиллаад дахин хэзээ ч ажиллахгүй туннель бол маршрутжуулалтын хувцастай амьдралын мөчлөгийн алдаа.

Байршуулалтын тэмдэглэлд аль профайл аль префиксыг эзэмшихийг пулын мужийн хажууд бич. Хоёр туннель бол санаатай зохион байгуулалт бөгөөд дараагийн уншигч аль ч профайлд хүрэхээс өмнө хил хязгаарыг хархыг хэрэгтэй. Тэр тэмдэглэлгүй бол хуваалцсан префикс эцэст нь эвдрэх үед жижүүрт байгаа хүн хилийг дахин нээдэг.