Нэг OpenVPN клиент дээр хоёр үйлчилгээний хаяг: iroute ба lo

Програм нь өөрийн туннелийн хаягаар хариулдаг бол таны түүнд зориулж баримтжуулсан хаяг хаашаа ч хүрэхгүй. OpenVPN-ийн бүртгэлд юу ч гомдоллохгүй, хань нь холбогдсон харагдана, төв нь яг нэг клиентийг жагсаана. Дутагдал нь клиент дээрх хоёр дахь хаяг нь хоёр тусдаа баримт: хост түүнийг эзэмших ёстой, төв нь аль хань эзэмшиж байгааг мэдэх ёстой. Нэгийг нь нөгөөгүйгээр шийдвэл урсгал нь төвд үхэх эсвэл гэртээ буцах замгүй ирнэ.

Хоч нэр нь орон нутгийн, эзэмшил нь алслагдсан

Туннелийн хаягийг хэлэлцэж тохирдог тул хоёр тал гар барих үеэр түүнийг мэддэг. Нэмэлт үйлчилгээний хаягийг огт хэлэлцдэггүй, тиймээс түүнийг нэмэх нь төвд өөрөө юу ч өөрчлөхгүй. Клиент хаягийг даруй эзэмшиж болох бөгөөд сервер тэр урсгалыг өөрийн анхдагч зам руу илгээх эсвэл хаях болно. Хоёр бичлэгийг хоёр өөр газарт үүсгэх ёстой.

Клиент дээр хаяг нь хостод хамаарна, loopback нь физик холбоос дээр хэзээ ч гарч болохгүй үйлчилгээний таних тэмдэгийн байгалийн гэр юм. Төвд хань ба угтварын зураглал нь зөвхөн сервер уншдаг тусдаа тунхаглал юм. Аль ч бичлэг нөгөөгөө агуулдаггүй.

Хоёр мужийг тэмдэглэлдээ ч тусдаа байлгаарай. Жишээн дэх хаягууд нь баримтжуулалтын утга бөгөөд тэдгээрийг бодит LAN-тай давхцуулах нь ажиллаж буй тохиргоог эвдэрсэн мэт харуулах хамгийн хурдан арга юм.

Хаягийг клиент дээр байнга нэмээрэй

Үйлчилгээний хаягийг хост угтвартайгаар loopback дээр байрлуул, ингэснээр хост түүнийг хүрэх ёстой дэд сүлжээ биш, орон нутгийн оролт гэж үзнэ. ip address add 10.66.0.10/32 dev lo үүнийг нэг хаягт хийдэг бөгөөд хоёр дахь хаягт командыг давтах нь хоёр үйлчилгээг загварчилна.

Үүнийг нэг удаагийн туршилт болгон ажиллуул, дараа нь хостны сүлжээний тохиргоог эзэмшдэг зүйл рүү зөө, учир нь ажиллах үеийн нэмэлт дахин ачаалахад алга болж, дахин холбогдолтын хооронд хуулбарууд хуримтлагдана. Сүлжээний дараа эрэмбэлсэн systemd нэгж нэг сонголт, түгээлтийн сүлжээний менежер нь нөгөө. Аль нэгийг нь сонгосон ч хаяг нь програм холбогдохоос өмнө байх ёстой, эс бөгөөс үйлчилгээ буруу сокет дээр гарна. Гараар командын дараа биш, дахин ачаалсны дараа ip address show dev lo ашиглан шалга.

Холбох нь хаяглалтаас тусдаа шийдвэр. Бүх хаяг дээр сонсдог програм нь таны хэзээ ч санаагүй интерфейс дээр урсгал хүлээн авдаг тул түүнийг тодорхой үйлчилгээний хаяг руу чиглүүл. Тэгвэл орон нутгийн оролтын бодлогод яг таарах зүйл бий болно.

Төв үнэхээр уншдаг CCD файлд үүнийг шаард

Сервер дээр эзэмшлийн тунхаглал нь баталгаажсан нийтлэг нэрээр сонгогдсон клиент тус бүрийн файл руу орно, client-config-dir-оор нэрлэсэн хаягийн дотор. Мөр нь iroute 10.66.0.10 255.255.255.255, хаяг бүрт нэг, мөн тэр очих газрын урсгалыг аль хань хүлээн авах ёстойг серверт хэлнэ.

Хоёр нарийн зүйл үүнийг чимээгүй эвддэг. Файлын нэр нь серверийн үнэхээр ашигладаг нэртэй таарах ёстой бөгөөд username-as-common-name тоглоомд байхад энэ нь өөр байна. Мөн iroute нь клиентийн тохиргооны хаяг тохируулсан TUN горимд л хүчинтэй тул гүүрэн байршуулалтад ижил мөр юу ч хийдэггүй. Мөрүүдийг одоо байгаа файлд нэм, орлуулж болохгүй, учир нь түүнд аль хэдийн тогтмол хаяг эсвэл push сонголт байж болно. OpenVPN 2.6 лавлагаа нь хаяг болон эзэмшлийн зааврыг хоёуланг нь баримтжуулдаг.

Төвийн өөрийн цөмд ч тэдгээр очих газар руу зам хэрэгтэй, орон нутгийн үүсгэсэн урсгал туннелийн процесс руу орохын тулд. Серверийн тохиргооны route 10.66.0.10 255.255.255.255 нь сервер өөрөө үүсгэдэг урсгалыг хамардаг бол бусад клиентүүд очих газрыг өөрсдөө мэдэхийн тулд push "route 10.66.0.10 255.255.255.255" хэрэгтэй.

Маршрутлалт ба эрх олголт тусдаа хэвээр. Түлхсэн маршрут нь клиентэд пакетуудыг хаашаа илгээхийг хэлдэг бөгөөд юу ч олгодоггүй; үйлчилгээ нь дуудагчийг өөрийн нөхцлөөр хүлээн авах ёстой.

Оролтын бодлого ба хариу замыг шалга

Хоч нэр рүү хаягласан пакет нь эзэмшиж буй хостод орон нутгийн оролт болж хүрдэг тул асуулт нь орон нутгийн галт хана тэр эх сурвалж болон портыг зөвшөөрч байгаа эсэх юм. Бүх хаягийг онгойлгохын оронд VPN-ийн эх сурвалжийн мужаас тодорхой үйлчилгээний портыг зөвшөөр.

Хариунууд дуудагч руу буцах зам хэрэгтэй. Энгийн туннелийн сангийн доторх дуудагчид тэр зам аль хэдийн бий, учир нь туннелийн төхөөрөмж түүнийг зөөдөг. Өөр маршрутлагдсан сүлжээний цаана байгаа дуудагчид тэр сүлжээний буцах зам ч хэрэгтэй бөгөөд яг энд тэгш бус тохиргоо пакетуудыг алддаг.

Нэг порт дээр өөр хаяг руу холбогдсон хоёр дахь сонсогчид анхаар, учир нь цөм нь таарсан сокет руу хүргэдэг ба үр дүн санамсаргүй мэт харагдана. ss -lntp ашиглан шалгаж, холбогдсон хаяг нь үйлчилгээний хоч нэр мөн эсэхийг батал. Энд эх сурвалжийн NAT шаардлагагүй бөгөөд түүнийг нэмэх нь таны бүртгэлээс хамаардаг дуудагчийн таних тэмдгийг нуудаг.

Хаяг ба эзэмшлийг тусдаа турш

Хоёр алхамаар турш. Эхлээд эзэмшиж буй хост өөрийн хоч нэр дээрх үйлчилгээнд өөрөөсөө хүрч чадах эсэхийг батал, энэ нь холболт ба галт хананы асуудлыг маршрутлалтаас тусгаарлана. Дараа нь програмын өөрийн баталгаажуулалтыг ашиглан бодит VPN дуудагчаас турш. Эхнийх нь давж, хоёр дахь нь бүтэлгүйтвэл дутагдаж буй хэсэг нь төвийн талд байна.

Холболтын дараа ч үлддэг эвдрэлийн горимуудыг ч шалга: туннель унтарсан ч хоч нэр хуваарилагдсан хэвээр, хань байхгүй ч төв өөрийн маршрутаа хадгална. Ямар ч объект ганцаараа үйлчилгээ хүрч болохыг нотолдоггүй тул хоёр алхамын туршилт зөөврийн компьютерээс нэг ping-ээс илүү.