Dua klien OpenVPN pada satu hos Linux: siapa pemilik laluan?

Kedua-dua profil melaporkan bersambung dan salah satunya membawa trafik yang ditujukan untuk yang lain secara senyap. Dua klien pada satu hos ialah susunan yang disokong; dua klien tanpa pemilik bagi setiap awalan bukan. Kerja ini kurang tentang menaikkan terowong kedua dan lebih tentang memutuskan proses mana yang boleh menuntut laluan mana. Ikuti urutan di bawah dan konfigurasi mengikut jawapannya.

Mulakan dengan bertanya untuk apa terowong kedua

Tiga situasi kelihatan sama pada baris status dan memerlukan reka bentuk berbeza. Pembahagian destinasi menghantar satu awalan melalui profil pejabat dan satu lagi melalui profil makmal, tanpa mana-mana menuntut laluan lalai. Pembahagian mengikut aplikasi biasanya mengekalkan satu terowong penuh dan mengarahkan trafik tertentu dengan peraturan dasar. Pemesongan kegagalan mengekalkan tepat satu terowong aktif pada satu masa, bermakna yang kedua tidak boleh bermula secara automatik.

Tulis kes itu sebelum membuka mana-mana fail konfigurasi, kerana jawapan itu menentukan segala-galanya selepasnya.

Susunan rosak yang paling biasa ialah dua terowong penuh yang kedua-duanya menolak laluan lalai, di mana yang bersambung terakhir menang dan yang pertama terus berpura-pura. Keadaan itu kelihatan disengajakan dari baris status dan membazirkan satu hari daripada jadual penghalaan. Menamakan kes itu dahulu menjadikannya mustahil, bukan sekadar tidak mungkin.

Lihat kolam sebelum laluan

Dua pelayan boleh mengagihkan alamat daripada satu julat peribadi dengan mudah, dan apabila berbuat demikian, klien berakhir dengan dua antara muka dalam satu awalan. Tiada destinasi kemudian boleh dikaitkan dengan antara muka mengikut alamat, kerana kedua-duanya kelihatan sama betul. Nomborkan semula satu kolam daripada mencipta peraturan untuk memecahkan seri.

Periksa juga rangkaian tempatan, kerana LAN rumah atau pejabat yang bertindih dengan julat terowong mencipta kekaburan yang sama dari sisi lain. Bandingkan alamat pada hos dengan kedua-dua konfigurasi pelayan sebelum menyalahkan klien. Perubahan kolam pada pelayan makmal ialah pembetulan lima minit, manakala jalan pintas penghalaan dasar untuk awalan bertindih ialah cukai kekal kepada sesiapa yang membaca konfigurasi kemudian. Putuskan mana antara keduanya yang anda mahu sebelum memilih tempat untuk campur tangan.

Dua keluarga alamat bermakna dua pusingan pemeriksaan ini. Kolam IPv6 berlanggar sesenyap IPv4.

Beri setiap profil seorang pemilik

Satu instans bagi setiap profil, satu fail konfigurasi bagi setiap instans dan satu nama yang mengenal pasti pasangan itu. Dalam pembungkusan gaya Debian, nama selepas tanda @ memilih fail, sebab itulah dua profil yang berkongsi nama instans tidak akan pernah berdua berfungsi. Sahkan pemetaan daripada unit yang dipasang, bukan daripada tutorial.

systemctl cat [email protected]
ip -4 addr show

Kemudian putuskan siapa yang memasang laluan, yang merupakan persoalan dasar, bukan sintaks.

Apabila kedua-dua pelayan menolak set tidak serasi, sama ada tambah route-nopull dan senaraikan hanya awalan yang diperlukan setiap profil, atau biarkan satu mengekalkan laluan lalainya dan arahkan selebihnya dengan peraturan dasar. Dua proses yang kedua-duanya memasang laluan lalai berakhir dengan satu pemenang dan tiada siapa boleh mengatakan mengapa. Sebaik sahaja kedua-dua terowong membawa trafik untuk sumber berbeza, balasan boleh keluar melalui terowong yang salah, dan corak yang bertahan ialah tanda sambungan yang dipulihkan pada balasan dan diarahkan ke jadualnya sendiri. Hadkan tanda itu supaya paket penyulitan terowong itu sendiri tidak pernah sepadan dengannya.

Sahkan setiap terowong, kemudian hentikan satu

Apabila kedua-duanya naik, ambil tiga bacaan: alamat pada setiap peranti terowong, laluan ke hos yang tinggal di belakang setiap satu, dan jalan yang akan diambil oleh destinasi di luar kedua-duanya. Senarai laluan biasa berhenti menerangkan carian akhir sebaik sahaja peraturan masuk permainan, jadi tanya kernel apa yang sebenarnya akan dipilihnya. Kemudian hentikan satu instans dan lihat apa yang hilang. Jika menghentikan yang pertama mengganggu yang kedua, masih ada sesuatu yang dikongsi antara mereka: laluan, nama peranti, atau peraturan firewall yang tiada siapa pisahkan.

ip rule show
ip route get 203.0.113.9

Bawa kembali profil yang dihentikan dan ulangi pemeriksaan yang sama, kerana terowong yang berfungsi sekali selepas but semula dan tidak pernah lagi ialah pepijat kitaran hayat yang memakai kostum penghalaan.

Catat dalam nota penggunaan profil mana yang memiliki awalan mana, di sebelah julat kolam. Dua terowong ialah susunan yang disengajakan, dan pembaca seterusnya perlu melihat sempadan sebelum menyentuh mana-mana profil. Tanpa nota itu, sempadan ditemui semula oleh sesiapa yang bertugas apabila awalan bersama akhirnya rosak.