Żewġ tunelli OpenVPN fuq host Linux wieħed: ta' min hi r-rotta?

Żewġ profili tal-klijent jistgħu jikkoeżistu ladarba l-pools, ir-rotot imbuttati u t-talbiet default jiġu assenjati. Iddeċiedi l-proprjetà l-ewwel, imbagħad uża l-marki għat-triq tar-ritorn.

Żewġ profili konnessi, u wieħed minnhom qed iġorr bilkwiet traffiku maħsub għall-ieħor. Host Linux jista' jmexxi ż-żewġ klijenti OpenVPN fl-istess ħin mingħajr diffikultà. Dak li ma jistax jagħmel hu li jiddeċiedi minflokok liema proċess jista' jitlob liema prefiss. Dik id-deċiżjoni trid tittieħed qabel ma jogħla t-tieni tunell, mhux wara li riżors jieqaf iwieġeb.

Ibda mix-xogħol li t-tieni link trid tagħmel

Uffiċċju li jintlaħaq permezz ta' profil wieħed u laboratorju li jintlaħaq permezz ta' ieħor jeħtieġu ż-żewġ tunelli 'l fuq u l-ebda wieħed ma jitlob kollox. Applikazzjoni waħda iebsa li trid toħroġ mit-tieni profil teħtieġ regola ta' politika minflok it-tieni rotta default. Link standby jeħtieġ biss tunell wieħed jaħdem fi kwalunkwe ħin, għalhekk l-ispare m'għandux jibda mal-magna.

Dawn huma tliet konfigurazzjonijiet differenti, u jiġu konfużi għax it-tlieta jibdew bl-istess mod: it-tieni profil u konnessjoni b'suċċess. Ikteb l-arranġament maħsub l-ewwel, imbagħad ikkonfigura lejh. Sentenza waħda ta' intenzjoni tiffranka siegħa ta' qbid ta' pakketti.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

L-ewwel kmand jelenka l-istanzi li qed jaħdmu, inklużi dawk imnedija bl-idejn barra l-maniġer. It-tieni jistampa t-talba default attwali, u dan huwa l-istat li jkollok tispjega aktar tard.

Pools li jikkoinċidu jinqasmu qabel ma jagħmel ir-routing

Żewġ servers se jassenjaw bil-ferħ indirizzi mill-istess 10.8.0.0/24. Il-klijent imbagħad iżomm żewġ interfaces ġewwa prefiss wieħed mingħajr xejn li jgħid liema destinazzjoni tappartjeni lil liema, u l-imġieba li tirriżulta tidher bħal ħsara fir-routing iżda fil-verità hija ħsara fin-numerazzjoni. Li terġa' tinnumera pool tiswa editjar wieħed tal-konfigurazzjoni; kull soluzzjoni ta' routing wara tiswa tmiem il-ġimgħa. Iċċekkja l-pool qabel ma żżid rotta għaliha.

Ħares ukoll lejn il-LAN lokali. LAN tad-dar innumerat 192.168.1.0/24 li tunell wieħed ukoll jesponi jipproduċi l-istess ambigwità, u s-sintomu huwa isem ta' host li jiġi riżolt waqt li l-konnessjoni qatt ma titlesta. Dan jidher bħal ħsara fir-riżoluzzjoni tal-ismijiet sakemm tistampa r-rotot.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Qabbel iż-żewġ outputs maż-żewġ konfigurazzjonijiet tas-server qabel ma tmiss il-klijent. Jekk il-prefissi jikkoinċidu, waqfet u erġa' nnumera, għax ebda ammont ta' restarts mhu se jifridhom.

Agħti lil kull profil l-unit tiegħu u lil kull prefiss sid

Kull profil jieħu l-isem tal-istanza tiegħu u l-fajl tal-konfigurazzjoni tiegħu, għalhekk l-istanza msejħa office tgħabbi office.conf filwaqt li dik imsejħa lab tgħabbi lab.conf. Ikkonferma dik il-mapping permezz tal-maniġer tas-servizzi minflok tafda listing tad-directory, għax drop-in jista' jbiddel liema fajl jiġi mgħobbi. Żball fil-mapping ifisser li qed tagħti l-profil li mhux qed jaħdem.

Imbagħad iddeċiedi min jinstallar-rotot. Meta s-servers jimbottaw settijiet inkompatibbli, jew irrifjuta l-imbuttatura u elenka l-prefissi inti stess, jew ħalli profil wieħed iżomm id-default u dderieġi l-ieħor b'regoli ta' politika. Żewġ proċessi li t-tnejn jinstallaw default jispiċċaw b'rebbieħ sieket u mingħajr rekord miktub tad-deċiżjoni.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

L-ewwel juri l-unit bl-ebda override li jbiddel l-argumenti tiegħu. It-tieni juri jekk il-profil jaċċettax rotot imbuttati xejn, u dak huwa l-iswiċċ li jiddeċiedi kollox 'l isfel.

Il-marki jżommu t-tweġibiet fuq l-interface li minnha waslu

Meta kull tunell iservi sorsi differenti, tweġiba tista' toħroġ mill-link żbaljat u l-konnessjoni tmut wara l-ewwel pakkett. Il-mudell li jżomm huwa li timmarka l-pakketti li jaslu skont l-interface tal-input, terġa' tistabbilixxi dik il-marka fuq it-tweġiba, u tagħti lil kull marka tabella bil-gateway default tagħha stess.

Il-filtru lax tar-reverse-path normalment irid jiġi rilassat għall-interfaces affettwati, għax tweġiba tasal b'mod leġittimu fuq link li t-tabella prinċipali qatt ma tagħżel. Żomm il-marki dejqa biex qatt ma jaqbdu t-traffiku encrypted tat-tunelli stess, li jibgħat it-tunell minn ġo fih innifsu.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Aqra r-regoli eżistenti qabel ma żżid oħra. Prijoritajiet doppi u tabelli minsija huma r-raġuni tas-soltu li politika tal-marki tidher li m'għandha ebda effett xejn.

Ipprova l-iżolament billi twaqqaf link wieħed

Biż-żewġ tunelli 'l fuq, irreġistra l-indirizz ta' kull interface, ir-rotta lejn host wieħed wara kull tunell, u t-triq li tieħu destinazzjoni mhux relatata. Staqsi lill-kernel għat-tfittxija minflok ma taqra tabella waħda, għax tabella waħda qatt ma turi d-deċiżjoni finali.

Imbagħad waqqaf istanza waħda u ara l-interface u r-rotot tagħha jisparixxu waqt li l-oħra tkompli. Xquq fil-wieħed li jibqa' jfisser li t-tnejn għadhom jaqsmu isem tal-apparat, rotta jew regola tal-firewall li ħadd ma firda.

Erġa' ġib il-profil mwaqqaf u erġa' agħmel l-istess verifiki. Meta tunell jibqa' ħaj biss fl-ewwel start wara reboot, qed tħares lejn difett taċ-ċiklu tal-ħajja u mhux disinn tar-routing.

Artikli relatati