tun maħluq minn qabel f'OpenVPN: tqabbil taż-żewġ mudelli ta' sjieda

Xi ħadd ħoloq tun1 minn qabel, il-profil jgħid dev tun1, u l-konnessjoni xorta ma tinqabadx. L-eżistenza tal-isem fuq il-host ma tgħid kważi xejn, għax it-tqabbid jiddependi mill-ispazju tal-ismijiet, mit-tip tal-apparat, min jippossjedi l-ħolqa u x'inhuma permessi għad-daemon. L-użu mill-ġdid ta' apparat iġiegħel ukoll deċiżjoni li l-konfigurazzjoni default taħbi: liema komponent jikteb l-indirizzi u r-rotot. Il-modi ta' falliment taż-żewġ arranġamenti jvarjaw ħafna aktar mill-linji tal-konfigurazzjoni, għalhekk iddeċiedi qabel ma teditja profil.

Isem mhuwiex tqabbid

dev tun1 jitlob lil OpenVPN għal dik l-interfaċċa bl-isem, u l-bini tradizzjonali fl-ispazju tal-utent se jippruvaw jiftħuha. Jekk l-isem ma jsegwix il-mudell tas-soltu tun jew tap, il-profil jeħtieġ ukoll dev-type li jaqbel, għax it-tip qatt ma jiġi dedott minn sensiela. Apparat TAP mhuwiex apparat TUN b'tikketta differenti: it-tqabbid ta' dak ħażin jew ifalli mill-ewwel jew joħloq ħolqa li ġġorr frejms li ħadd ma jistenna. Iċċekkja t-tip qabel kull ħaġa oħra, għax kull verifika sussegwenti tassumi li ż-żewġ naħat jaqblu dwaru. Minn hemm 'il quddiem, ikkonferma li l-proċess jista' verament jiftaħ l-apparat, u mhux biss jarah.

dev tun1
dev-type tun

L-interfaċċa tan-netwerk u /dev/net/tun huma oġġetti differenti: waħda hija ħolqa ġewwa spazju tal-ismijiet, l-oħra hija l-apparat tal-karattri li programm fl-ispazju tal-utent juża biex jinqabad. Id-dokumentazzjoni Linux TUN/TAP tiddeskrivi dak il-perkors tat-tqabbid u r-regoli tas-sjieda għall-apparati persistenti. Qoxra root li tista' tħaddem ip link tipprova biss li l-qoxra għandha privileġġi, mhux li d-daemon għandu. Is-sjieda tan-nodu tal-apparat, is-sett ta' kapaċitajiet tas-servizz u l-utent li taħtu jaħdem għandhom kollha jaqblu qabel ma tirnexxi l-ftuħ.

Apparat li jeżisti u ma jinfetaħx hija problema ta' sjieda, mhux problema ta' routing. Ittrattah hekk waqt id-debugging, inkella wara nofsinhar jgħaddi jaqra tabelli tar-rotot li qatt ma kienu l-problema.

Min jikkonfigura l-ħolqa: żewġ mudelli ta' sjieda

Fl-ewwel mudell OpenVPN jikkonfigura l-indirizzi u r-rotot bħala parti mit-tlugħ tal-konnessjoni. Dan huwa l-imġiba default u l-aktar faċli biex tarraġuna, għax komponent wieħed joħloq l-istat u mbagħad ineħħu mill-ġdid. Fit-tieni mudell maniġer estern jippossjedi l-interfaċċa, u ifconfig-noexec jimpedixxi lil OpenVPN milli jħaddem il-kmandi tiegħu tal-konfigurazzjoni tal-indirizzi u jgħaddi l-parametri lil skripts. Imbagħad il-maniġer irid japplika hu stess il-konfigurazzjoni lokali u tal-pari korretta, li hija aktar xogħol milli tissuġġerixxi l-isem tal-għażla. L-għażla bejn it-tnejn hija mistoqsija dwar min jista' jbiddel il-ħolqa waqt li tkun imtellgħa.

ifconfig-noexec ikopri l-indirizzi biss: it-tabella tar-rotot tibqa' mhux mittiefsa, u l-konfigurazzjoni tar-rotot tappartjeni lil route-noexec. Ittratta ż-żewġ direttivi bħala kontrolli separati b'sidien separati, għax tisettja waħda u tassumi l-oħra hija sors komuni ta' ħoloq nofshom konfigurati. Agħżel eżattament sid wieħed għal kull saff, l-indirizzi f'post wieħed u r-rotot f'post wieħed. Maniġer tan-netwerk u assistent VPN li t-tnejn jiktbu indirizzi huwa l-mod kif skonnessjoni tħassar stat li n-naħa l-oħra għadha tiddependi fuqu.

Spezzjona l-apparat mill-ispazju tal-ismijiet li jgħodd

Spezzjona l-apparat mill-ispazju tal-ismijiet li fih taħdem il-proċess VPN, mhux minn dak li fih tinsab bil-kumbinazzjoni l-qoxra tiegħek. Iż-żewġ kmandi hawn taħt iwieġbu mistoqsijiet differenti, u d-differenza tidher meta host jara interfaċċa li kontenitur ma jarahiex. Ħaddimhom fl-ordni mogħti, għax it-tieni għandu sens biss wara li tkun taf jekk il-ħolqa teżistix xejn.

ip -details link show dev tun1
ip tuntap show

L-ewwel kmand jistampa l-ħolqa kif jaraha l-kernel, inklużi l-bnadar u t-tip tal-interfaċċa, u hekk tikkonferma li dan huwa l-apparat li kellek f'moħħok. It-tieni jelenka d-dħuliet tun/tap persistenti, li jeżistu mingħajr ma jżommhom ebda proċess. Interfaċċa li tistenna sidha maħtur hija sitwazzjoni differenti minn mina ħajja mqabbda ma' VPN oħra, u t-tieni biss tispjega għaliex it-tqabbid tiegħek stess ifalli. Sib il-proċess li jżomm l-apparat qabel ma tbiddel xejn, għax dħul persistenti u interfaċċa okkupata għandhom soluzzjonijiet differenti.

L-appoġġ għal bosta kjuwijiet huwa arranġament speċifiku tas-sewwieq bil-ħtiġijiet tiegħu, mhux permess biex proċessi mhux relatati jaqsmu interfaċċa waħda. Sessjoni ħajja ta' sid ieħor hija problema ta' koordinazzjoni, u l-ebda editjar tal-profil ma jsolviha.

Żewġ tipi ta' persistenza

Il-persistenza tal-kernel u persist-tun jiddeskrivu tulijiet ta' ħajja li huma faċli biex jitħalltu u għaljin biex jiġu konfużi. Apparat persistenti jeżisti indipendentement minn kull proċess, għalhekk jgħix wara waqfa u t-tlugħ li jmiss jista' jerġa' jużah. persist-tun iżomm ir-riżorsi matul resetjiet rotob appoġġjati fi ħdan proċess OpenVPN wieħed, orizzont ħafna iqsar. L-ebda waħda ma twiegħed li waqfien tas-servizz iħalli r-rotot u l-indirizzi fil-post tagħhom, u interfaċċa li tibqa' tidher mhijiex prova ta' sessjoni kriptata li taħdem.

Ivverifika wkoll il-backend, għax interfaċċa maħluqa minn qabel ma tgħid xejn dwar liema implimentazzjoni se tiftaħha. Bini tal-komunità li jġorru l-perkors dirett tad-data se jippruvaw jużawh sakemm id-disinn ma jgħidx mod ieħor. Fejn il-verżjoni tappoġġja s-swiċċ, disable-dco jagħżel minflok il-perkors tal-ispazju tal-utent; magni anzjani u klijenti oħra m'għandhomx direttiva bħal din, għalhekk żomm il-kundizzjoni tal-verżjoni ħdejn l-għażla minflok ma tassumi li tapplika.

X'jinkiser meta tiġi ttestjata biss it-tlugħ

Ftehim ta' sjieda jista' jgħaddi mill-ewwel test u jfalli fl-aħħar wieħed, u dan jagħmel it-tlugħ waħdu verifika dgħajfa. Osserva minflok żewġ transizzjonijiet: reset rotta, u waqfa sħiħa segwita minn tlugħ.

systemctl status openvpn-client@lab
ip -details link show dev tun1

It-tlugħ huwa l-każ faċli: l-unit jitla', il-ħolqa tidher, u l-output tal-istat isemmi l-profil li ġie mgħobbi. It-tqabbid huwa l-mument li fih id-daemon jiftaħ l-apparat, għalhekk ħaddem il-verifika tal-ħolqa wara li l-unit jirrapporta li huwa attiv, mhux qabel. Jekk il-ħolqa teżisti waqt li l-istat għadu qed jiġi attivat, qed tara apparat persistenti li ħadd għadu ma nqabad miegħu, mhux mina li taħdem. Għaddi traffiku reali mill-ħolqa qabel ma tkompli, għax interfaċċa mqabbda mingħajr rotta użabbli għadha falliment.

kill -SIGHUP $(pidof openvpn)
journalctl -u openvpn-client@lab -n 40
systemctl stop openvpn-client@lab
ip -details link show dev tun1

Reset rotta għandu jħalli s-sessjoni użabbli u r-riżorsi intatti, u dak huwa x-xogħol li jagħmel persist-tun. Waqfa sħiħa hija l-post fejn maniġer estern jiżvela ruħu: jekk il-ħolqa jew l-indirizzi tagħha jgħixu wara l-waqfa, xi ħadd ieħor jippossjedihom, u dak huwa jew l-istat li ddokumentajt jew il-bug li għadek kif sibt. Irreġistra ż-żewġ osservazzjonijiet ħdejn il-profil, sabiex il-bidla li jmiss tibda minn evidenza u mhux minn dijagramma.