Żewġ klijenti OpenVPN fuq gateway Linux wieħed: aqsam il-politika

Żewġ daemons ta’ OpenVPN jistgħu t-tnejn jirrappurtaw minell suċċess waqt li l-gateway jibgħat kull klijent mill-istess wieħed. Xejn fil-handshake ma jiddeċiedi liema minell juża klijent; il-kernel jiddeċiedi, pakket b’pakket, billi jgħaddi mill-regoli tal-politika u mbagħad mit-tabella li tirreferi għaliha kull regola. Meta tħares lejh hekk, il-konfigurazzjoni tieqaf tkun dwar l-għażliet tal-OpenVPN u ssir matriċi tar-routing b’żewġ sidien.

Il-kernel jiddeċiedi, mhux id-daemon

Pakket mgħoddi ’l quddiem jasal fl-interface LAN u l-kodiċi tar-routing jevalwa l-lista tar-regoli bl-ordni ta’ prijorità. L-ewwel regola li s-selettur tagħha jaqbel issemmi tabella, u r-rotot ta’ dik it-tabella jagħżlu t-tagħmir tal-ħruġ. Jekk it-tabella m’għandhiex rotta li taqbel, it-tiftixa tkompli għar-regola li jmiss, u dan huwa d-dettall li jagħmel setup nofsu lest ifalli bil-kwiet minflok b’ħoss.

Il-proċess tal-minell m’għandux vuċi f’dik il-mixja. Huwa joħloq interface u jista’ jinstalla rotot, imma jekk il-pakket ta’ klijent partikolari jidħolx f’dik l-interface jiddependi kompletament mit-tabella li ntbagħat lejha. Għalhekk żewġ minelli b’rotot importati identiċi jikkompetu, u l-aħħar wieħed li jikteb jirbaħ għal kulħadd. Għalhekk setup jista’ jidher bilanċjat fil-fajls tal-konfigurazzjoni u xorta jibgħat il-klijenti kollha minn daemon wieħed.

Agħti lil kull istanza s-sett tar-riżorsi tagħha

Ibda bl-ismijiet, għax ismijiet użati mill-ġdid huma l-mod kif iż-żewġ istanzi jispiċċaw jaqsmu l-istat b’aċċident. Assenja tagħmir tal-minell distint, fajls tal-konfigurazzjoni distinti, kredenzjali distinti u unitajiet tas-servizz distinti. Irreġistra l-punt tat-tmiem ta’ barra u l-indirizz tal-minell ta’ kull istanza fl-istess tabella bħall-matriċi tal-politika, sabiex bidla aktar tard ikollha post wieħed fejn tħares.

dev tun-office
route-nopull
pull-filter ignore "redirect-gateway"

dev tun-lab
route-nopull

route-nopull iżomm ir-rotot li jimbotta server barra mit-tabella lokali, u dan huwa eżattament dak li trid meta t-tabelli tal-politika suppost ikunu espliċiti. Jekk server partikolari jimbottax ukoll għażla redirect-gateway, u jekk il-verżjoni tal-klijent tiegħek tappoġġjax il-forma tal-filtru, ta’ min tiċċekkja fil-manwal minflok tassumi.

Ikteb il-matriċi: sors, tabella, tagħmir

Għal kull grupp ta’ klijenti, żid regola li tagħżel tabella bl-indirizz tas-sors, imbagħad qiegħed il-passaġġ maħsub f’dik it-tabella:

ip rule add from 10.8.1.0/24 lookup 100 priority 1000
ip rule add from 10.9.1.0/24 lookup 200 priority 1000
ip route add default dev tun-office table 100
ip route add default dev tun-lab table 200

It-tabella teħtieġ ir-rotot tad-destinazzjoni li l-grupp għandu jkollu, flimkien ma’ kwalunkwe eċċezzjonijiet lokali jew tal-ġestjoni li jżommu l-gateway użabbli. Tabella li fiha biss rotta default hija politika ta’ minell sħiħ għal dak il-grupp, li tista’ tkun eżattament tajba, imma għandha tkun deċiżjoni u mhux tħalla barra.

It-trasport tal-minell innifsu mhuwiex fi grupp ta’ klijenti

Il-pakketti kriptati ta’ kull daemon joriġinaw fuq il-gateway innifsu, indirizzati lill-peer ta’ barra. Regola li taqbel biss ma’ prefiss tas-sors tal-klijent tħalli dawk il-pakketti waħedhom, u għalhekk regoli limitati għas-sors huma aktar siguri minn regoli li jaqblu ma’ kollox. Regola mingħajr selettur tista’ taqbad it-trasport tal-minell innifsu u tibgħatu lura minn minell, u mbagħad il-konnessjoni tfalli b’mod li jidher problema tal-fornitur.

Żomm is-sessjoni tal-ġestjoni lokali u l-passaġġ tas-saff ta’ taħt espliċitament barra mit-tabelli tal-politika. Ikteb dawk l-eċċezzjonijiet ħdejn il-matriċi; huma parti mid-disinn, mhux soluzzjoni temporanja li trid terġa’ tinstab waqt inċident.

L-għażla ta’ passaġġ ma tippermettihx

Il-permess tal-forwarding huwa t-tieni deċiżjoni meħuda aktar tard fil-passaġġ. Regola tal-firewall li taċċetta pakketti li joħorġu mit-tieni minell ma tagħmilx lill-kodiċi tar-routing jagħżilha, u tabella korretta ma tagħtix permess biex tkompli tgħaddi. It-tnejn iridu jkunu hemm, u test li jipprova wieħed biss se jqarraq bik dwar l-ieħor. Meta grupp jaħdem u l-ieħor le, iċċekkja dawk iż-żewġ passi separatament minflok terġa’ tikteb it-tabelli.

It-traduzzjoni tas-sors hija t-tielet deċiżjoni, u għandha tiġi limitata għall-grupp tas-sors u għat-tagħmir tal-minell li verament iġorrha. Żid katina ddedikata għaż-żewġ istanzi minflok tbattal il-katina postrouting, għax servizzi mhux relatati jista’ jkollhom entrati hemmhekk u tbattil ineħħihom bil-kwiet.

X’jiġri meta minell wieħed jaqa’

Iddeċiedi l-imġiba tal-falliment minn qabel. Meta tabella tal-minell titlef ir-rotta tagħha, it-tiftixa taqa’ għar-regola li jmiss, u t-traffiku tal-grupp ikompli mill-minell l-ieħor jew mill-link ta’ fuq tas-soltu mingħajr ebda żball. Jekk dan mhux aċċettabbli, żid regola terminali b’numru ta’ prijorità aktar baxx li tirritorna riżultat mhux aċċessibbli għal dak is-sors, sabiex it-telf jidher minflok jiġi assorbit.

Ibgħat talba ġdida minn kull grupp tas-sors u irreġistra erba’ fatti: it-tabella magħżula, it-tagħmir tal-ħruġ, is-sors tradott, u jekk it-tweġiba rritornatx mill-istess passaġġ. Imbagħad neżżel minell wieħed u erġa’ agħmel. Żewġ tagħmir TUN fil-lista tal-interfaces jippruvaw li ż-żewġ daemons bdew; ma jgħidu xejn dwar liema uża klijent partikolari. It-tieni ġirja, b’minell wieħed nieqes, hija dik li turi jekk ir-regola ta’ riżerva tiegħek tagħmilx dak li ħsibt.