Dua terowong OpenVPN pada satu hos Linux: siapa pemilik laluan?

Dua profil disambungkan, dan salah satunya membawa trafik yang ditujukan untuk yang lain secara senyap. Hos Linux boleh menjalankan kedua-dua OpenVPN klien serentak tanpa kesukaran. Apa yang tidak boleh dilakukannya ialah memutuskan bagi pihak anda proses mana yang boleh menuntut awalan mana. Keputusan itu mesti dibuat sebelum terowong kedua naik, bukan selepas sesuatu sumber berhenti menjawab.

Mulakan dengan kerja yang perlu dilakukan oleh pautan kedua

Pejabat yang boleh dicapai melalui satu profil dan makmal yang boleh dicapai melalui profil lain memerlukan kedua-dua terowong naik dan tiada satu pun menuntut segala-galanya. Satu aplikasi degil yang mesti keluar melalui profil kedua memerlukan peraturan dasar, bukan laluan lalai kedua. Pautan siap sedia hanya memerlukan satu terowong berjalan pada satu masa, jadi ganti itu tidak sepatutnya bermula bersama mesin.

Itu tiga konfigurasi berbeza, dan semuanya keliru kerana ketiga-tiganya bermula dengan cara yang sama: profil kedua dan sambungan yang berjaya. Tulis susunan yang dimaksudkan dahulu, kemudian konfigurasikan ke arahnya. Satu ayat niat menjimatkan satu jam tangkapan paket.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Perintah pertama menyenaraikan instans yang berjalan, termasuk yang dimulakan secara manual di luar pengurus. Yang kedua mencetak tuntutan laluan lalai semasa, iaitu keadaan yang perlu anda jelaskan kemudian.

Kolam yang bertindih rosak sebelum penghalaan

Dua pelayan akan dengan senang hati memberikan alamat daripada 10.8.0.0/24 yang sama. Klien kemudian memegang dua antara muka dalam satu awalan tanpa apa-apa yang menyatakan destinasi mana milik yang mana, dan tingkah laku yang terhasil kelihatan seperti kerosakan penghalaan tetapi sebenarnya kerosakan penomboran. Menomborkan semula kolam berharga satu suntingan konfigurasi; setiap helah penghalaan selepas itu berharga satu hujung minggu. Periksa kolam sebelum anda menambah laluan untuknya.

Lihat juga LAN tempatan. LAN rumah bernombor 192.168.1.0/24 yang turut didedahkan oleh satu terowong menghasilkan kekaburan yang sama, dan gejalanya ialah nama hos yang diselesaikan sementara sambungan tidak pernah selesai. Itu kelihatan seperti kerosakan penyelesaian nama sehingga anda mencetak laluan.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Bandingkan kedua-dua output dengan kedua-dua konfigurasi pelayan sebelum menyentuh klien. Jika awalannya bertindih, berhenti dan nomborkan semula, kerana berapa kali pun dimulakan semula tidak akan memisahkannya.

Beri setiap profil unitnya sendiri dan setiap awalan seorang pemilik

Setiap profil mendapat nama instans sendiri dan fail konfigurasi sendiri, jadi instans bernama office memuatkan office.conf manakala yang bernama lab memuatkan lab.conf. Sahkan pemetaan itu melalui pengurus perkhidmatan dan bukannya mempercayai senarai direktori, kerana drop-in boleh mengubah fail mana yang dimuatkan. Tersilap memetakan bermakna anda menala profil yang tidak berjalan.

Kemudian tetapkan siapa yang memasang laluan. Apabila pelayan menolak set yang tidak serasi, sama ada tolak tolakan itu dan senaraikan awalan sendiri, atau biarkan satu profil mengekalkan lalai dan pandu yang lain dengan peraturan dasar. Dua proses yang kedua-duanya memasang lalai berakhir dengan pemenang senyap dan tanpa rekod bertulis tentang keputusan itu.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Yang pertama menunjukkan unit dengan sebarang pengatasan yang mengubah argumennya. Yang kedua menunjukkan sama ada profil menerima laluan yang ditolak langsung, dan itulah suis yang menentukan segala-galanya selepas itu.

Tanda menahan balasan pada antara muka tempat ia datang

Apabila setiap terowong melayani sumber yang berbeza, balasan boleh keluar melalui pautan yang salah dan sambungan mati selepas paket pertama. Corak yang bertahan ialah menandakan paket yang datang mengikut antara muka input, memulihkan tanda itu pada balasan, dan memberi setiap tanda jadual dengan get laluan lalainya sendiri.

Penapisan laluan songsang longgar biasanya perlu dilonggarkan untuk antara muka yang terjejas, kerana balasan memang tiba secara sah melalui pautan yang tidak akan dipilih oleh jadual utama. Kekalkan tanda sempit supaya ia tidak pernah menangkap trafik penyulitan terowong itu sendiri, yang akan menghantar terowong melalui dirinya sendiri.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Baca peraturan sedia ada sebelum menambah satu lagi. Keutamaan berganda dan jadual yang terlupa ialah sebab biasa dasar tanda kelihatan tidak berkesan sama sekali.

Buktikan pengasingan dengan menghentikan satu pautan

Dengan kedua-dua terowong naik, catat alamat setiap antara muka, laluan ke satu hos di belakang setiap terowong, dan laluan yang diambil oleh destinasi yang tidak berkaitan. Mintalah carian daripada kernel dan bukannya membaca satu jadual, kerana satu jadual tidak pernah menunjukkan keputusan akhir.

Kemudian hentikan satu instans dan saksikan antara muka serta laluannya lenyap sementara yang lain terus berjalan. Gangguan pada yang bertahan bermakna kedua-duanya masih berkongsi nama peranti, laluan atau peraturan firewall yang tidak dipisahkan oleh sesiapa.

Bawa kembali profil yang dihentikan dan ulangi pemeriksaan yang sama. Apabila terowong hanya bertahan pada permulaan pertama selepas but semula, anda sedang melihat kecacatan kitaran hayat dan bukan reka bentuk penghalaan.