Il-klijenti tal-OpenVPN ma jarawx lil xulxin: subnet jew net30?

Żewġ ħsarat bla rabta jipproduċu l-istess ilment. Fl-ewwel waħda, klijent ma jasalx għall-ieħor anki bl-indirizz tat-tunnel, għax l-indirizzi mhumiex f'subnet wieħed jew is-server ma jgħaddix it-traffiku bejn il-pari. Fit-tieni waħda, ping jaħdem imma l-lista tal-apparati tal-app tibqa' vojta, għax l-iskoperta tiddependi fuq broadcast li tunnel ta' saff 3 ma jistax iġorr. Ping wieħed jifridhom, u t-tiswija ta' kull waħda ma tixbah xejn lil tat-tiswija tal-oħra.

Ping wieħed jaqsam il-problema fi tnejn

Minn klijent wieħed, ping l-indirizz tat-tunnel tal-klijent l-ieħor, mhux ismu u mhux l-indirizz LAN tiegħu. Jekk dan ifalli, it-trażmissjoni jew l-indirizzar hija l-problema u l-iskoperta mhix rilevanti sakemm ma tiġix issistemata. Jekk jirnexxi, it-trażmissjoni diġà taħdem u l-vojt li jifdal huwa broadcast jew riżoluzzjoni tal-ismijiet.

ip addr show tun0

Aqra l-interface tal-klijent qabel kull ħaġa oħra, għax in-netmask isemmi t-topoloġija. /24 jew maskra tas-subnet oħra tfisser pool kondiviż; /30 b'indirizz tal-pari tfisser it-tqassim il-qadim punt-sa-punt, fejn kull klijent għandu eżattament ġar wieħed, is-server.

net30 kontra subnet, moqri mill-ġenb tal-klijent

B'net30 is-server jagħti blokka żgħira lil kull klijent, għalhekk rotta lejn l-indirizz tat-tunnel ta' klijent ieħor ma teżistix sakemm is-server ma jgħaddihiex. B'subnet il-pool kollu huwa netwerk wieħed, kull klijent jista' jindirizza kull wieħed ieħor, u s-server jgħaddi bejniethom. Huwa għalhekk li konfigurazzjoni waħda tas-server tista' tidher f'saħħitha waqt li l-ping bejn il-pari jfalli: xejn mhu miksur, il-klijenti sempliċement mhumiex fi netwerk wieħed. Il-klijent jara konnessjoni li taħdem u indirizz tal-pari li ma jweġibx, li jinqara bħala firewall imma huwa tqassim tal-indirizzar.

Li tbiddel id-direttiva hija modifika min-naħa tas-server flimkien ma' restart, u tapplika għall-konnessjoni li jmiss u mhux għas-sessjonijiet li diġà huma miftuħa. Erġa' qabbad il-klijenti qabel ma tiġġudika l-bidla. Jekk apparat jerġa' jiġġenera l-konfigurazzjoni minn interface web, innota d-direttiva, il-fajl u d-data, u agħmel il-modifika mill-interface meta jkun hemm waħda, għax tibdil mill-ġdid se jikteb fuq modifika manwali fil-ħażna li jmiss.

client-to-client huwa bieb separat

Anki ġewwa subnet wieħed is-server jarmi l-pakketti li jaslu minn klijent wieħed u huma indirizzati lil ieħor sakemm client-to-client ma jkunx issettjat. Dik il-kelma muftieħa tagħmel lis-server mgħaddi tat-traffiku bejn il-pari minflok punt tat-tmiem li biss jaċċettah. Hija t-tieni kundizzjoni li n-nies jitilfu wara li jsewwu t-topoloġija.

Dan ma jestendix għall-broadcast. Is-setting jgħaddi unicast bejn il-klijenti; ma jagħmilx it-tunnel segment kondiviż, u l-ebda ammont tiegħu mhu se jwassal mistoqsija tal-iskoperta multicast lil kull pari.

TUN kontra TAP, u x'jista' jġorr kull wieħed

Li tagħmel pont ta' apparat tap fil-LAN iqiegħed klijenti mill-bogħod fid-dominju tal-broadcast tal-uffiċċju, li ssolvi l-iskoperta għal kollox. Il-prezz huma l-pjattaformi li ma jimplimentawx TAP, pont li jrid ikun hemm fuq is-server, u dominju ta' falliment fejn maltempata ta' broadcast fuq il-cable tal-uffiċċju tasal għal kull laptop mill-bogħod.

Għal żewġ jew tliet stazzjonijiet tax-xogħol li għandhom bżonn riżoluzzjoni tal-ismijiet, entrata hosts jew indirizz unicast huwa ħafna irħas minn pont. Uża TAP meta protokoll li ma tistax tissostitwixxi jiddependi fuq l-iskoperta ta' saff 2, u mhux qabel.

Klijenti tal-istess subnet bla pont

Li tagħti indirizz mill-firxa LAN ma jqiegħedx il-klijent fuq il-cable. Is-server irotta bejn it-tunnel u l-Ethernet, għalhekk l-ARP għal dak l-indirizz jieqaf fl-interface tas-server u l-bqija tal-LAN qatt ma jsir jaf fejn jgħix.

ip neigh add proxy 10.50.1.250 dev eth0

Proxy ARP jagħlaq dak il-vojt billi s-server iwieġeb f'isem il-klijent. Għal firxa, parpd jamministra l-entrati hekk kif il-klijenti jiġu u jmorru, filwaqt li s-sysctl net.ipv4.conf.eth0.proxy_arp=1 iwieġeb għal kull ħaġa li tiġi rrottata x'imkien ieħor, li huwa wiesa' biżżejjed biex joħloq sorpriżi tiegħu fuq segment imħabbel.

Liema rotta tagħżel, neħħi NAT bejn it-tunnel u l-cable. Regola MASQUERADE taħbi eżattament il-mistoqsija tal-indirizzar li qed tipprova twieġeb. Hija tħalli wkoll lill-persuna li jmiss b'topoloġija li ma tistax taħseb dwarha mill-ġenb tal-klijent.

Qabel ma tbiddel xejn, aqbad tentattiv wieħed fuq is-server b'tcpdump -ni tun0 u kkonferma jekk il-pakkett tal-pari jasalx xejn. Li jasal u jiġi mwarrba jindika client-to-client; li qatt ma jasal jindika topoloġija jew rototar. Il-manwal tal-OpenVPN 2.6 jiddokumenta ż-żewġ kelmiet muftieħa u t-topoloġija awtomatika, li tiswa li tqabbel mal-verżjoni tiegħek qabel ma tikkopja linja minn post tal-forum.

• L-interface tun turi maskra tal-pool u mhux par tal-pari /30.
• Ping dirett lejn l-indirizz l-ieħor tat-tunnel jirnexxi qabel ma tittestja l-iskoperta.
• Il-konfigurazzjoni tas-server tinkludi client-to-client kull darba li l-pari jridu jbiddlu pakketti.
• Semmi l-protokoll tal-iskoperta li qed tittestja minflok tgħid li l-app tfalli.
• Uża TAP biss jekk kull pjattaforma tal-klijent fil-grupp tappoġġah.
• Żomm NAT barra mit-triq bejn it-tunnel u l-LAN meta l-aċċessibbiltà fi ħdan l-istess subnet hija importanti.