एउटै Linux होस्टमा दुई OpenVPN क्लाइन्ट: रुट कसको?

दुवै प्रोफाइलले जडान भएको जनाउँछन् र तीमध्ये एकले अर्कोका लागि भएको ट्राफिक चुपचाप बोकिरहेको छ। एउटै होस्टमा दुई क्लाइन्ट समर्थित व्यवस्था हो; प्रत्येक प्रिफिक्सका लागि मालिक नभएका दुई क्लाइन्ट होइन। काम दोस्रो टनेल उठाउनुभन्दा कुन प्रक्रियाले कुन रुट दाबी गर्न सक्छ भन्ने निर्णयमा बढी छ। तलको क्रममा जानुहोस् र उत्तरबाट कन्फिगरेसन आउँछ।

दोस्रो टनेल केका लागि हो भनेर सोधेर सुरु गर्नुहोस्

तीन अवस्था स्टेटस लाइनमा उस्तै देखिन्छन् र फरक डिजाइन चाहिन्छ। गन्तव्यअनुसार विभाजनले एउटा प्रिफिक्सलाई कार्यालय प्रोफाइलबाट र अर्कोलाई प्रयोगशाला प्रोफाइलबाट पठाउँछ, र कुनैले पनि पूर्वनिर्धारित रुट दाबी गर्दैन। अनुप्रयोगअनुसार विभाजनले सामान्यतया एउटा पूरा टनेल राख्छ र निश्चित ट्राफिकलाई नीति नियमले मोड्छ। असफलतामा स्विच हुँदा एकै समयमा ठ्याक्कै एउटा टनेल चालु राख्छ, जसको अर्थ दोस्रो स्वतः सुरु हुनु हुँदैन।

कुनै पनि कन्फिगरेसन फाइल खोल्नुअघि केस लेख्नुहोस्, किनकि त्यही उत्तरले पछिको सबै निर्धारण गर्छ।

सबैभन्दा सामान्य बिग्रिएको व्यवस्था दुई पूरा टनेल हुन् जसले दुवैले पूर्वनिर्धारित रुट धकेलेका छन्, जहाँ अन्तिममा जोडिने जित्छ र पहिलो नाटक गरिरहन्छ। त्यो अवस्था स्टेटस लाइनबाट जानाजान गरिएको जस्तो देखिन्छ र राउटिङ तालिकाबाट एक दिन बर्बाद गर्छ। केसलाई पहिले नाम दिँदा यो केवल असम्भाव्य नभई असम्भव हुन्छ।

रुटभन्दा पहिले पूल हेर्नुहोस्

दुई सर्भरले एउटै निजी दायराबाट ठेगाना सजिलै दिन सक्छन्, र त्यसो गर्दा क्लाइन्ट एउटै प्रिफिक्सभित्र दुई इन्टरफेससँग रहन्छ। त्यसपछि ठेगानाअनुसार कुनै पनि गन्तव्यलाई इन्टरफेसमा आरोपित गर्न सकिँदैन, किनकि दुवै समान रूपमा सही देखिन्छन्। बराबरी तोड्न नियम आविष्कार गर्नुभन्दा एउटा पूल पुनः क्रमाङ्कन गर्नुहोस्।

स्थानीय सञ्जाल पनि जाँच्नुहोस्, किनकि टनेल दायरासँग ओभरल्याप हुने घर वा कार्यालयको LAN ले अर्कोतर्फबाट उही अस्पष्टता सिर्जना गर्छ। क्लाइन्टलाई दोष दिनुअघि होस्टका ठेगानालाई दुवै सर्भर कन्फिगरेसनसँग तुलना गर्नुहोस्। प्रयोगशाला सर्भरमा पूल परिवर्तन पाँच मिनेटको सुधार हो, तर ओभरल्याप हुने प्रिफिक्सका लागि नीति-राउटिङको वैकल्पिक बाटो पछि कन्फिगरेसन पढ्ने सबैका लागि स्थायी कर हो। कहाँ हस्तक्षेप गर्ने भनेर छान्नुअघि यी दुईमध्ये के चाहिन्छ निर्णय गर्नुहोस्।

दुई ठेगाना परिवार भनेको यो जाँचका दुई चरण। IPv6 पूल IPv4 जत्तिकै चुपचाप ठोक्किन्छन्।

प्रत्येक प्रोफाइललाई मालिक दिनुहोस्

प्रत्येक प्रोफाइलका लागि एउटा इन्स्टेन्स, प्रत्येक इन्स्टेन्सका लागि एउटा कन्फिगरेसन फाइल र जोडी चिनाउने एउटा नाम। Debian शैलीको प्याकेजिङमा @ चिन्हपछिको नामले फाइल छान्छ, त्यसैले एउटै इन्स्टेन्स नाम साझा गर्ने दुई प्रोफाइल कहिल्यै दुवै काम गर्न सक्दैनन्। म्यापिङ स्थापित युनिटबाट पुष्टि गर्नुहोस्, ट्युटोरियलबाट होइन।

systemctl cat [email protected]
ip -4 addr show

त्यसपछि रुट कसले स्थापित गर्छ भन्ने निर्णय गर्नुहोस्, यो नीतिको प्रश्न हो, वाक्यरचनाको होइन।

जब दुवै सर्भरले असंगत सेट धकेल्छन्, तब या त थप्नुहोस्route-nopull र प्रत्येक प्रोफाइललाई आवश्यक प्रिफिक्स मात्र सूचीबद्ध गर्नुहोस्, वा एउटालाई यसको पूर्वनिर्धारित रुट राख्न दिनुहोस् र बाँकीलाई नीति नियमले मोड्नुहोस्। दुवैले पूर्वनिर्धारित रुट स्थापित गर्ने दुई प्रक्रिया एउटै विजेतासँग अन्त्य हुन्छन् र किन भनेर कसैले भन्न सक्दैन। दुई टनेलले फरक स्रोतको ट्राफिक बोक्न थालेपछि जवाफ गलत टनेलबाट बाहिर जान सक्छ, र टिक्ने ढाँचा भनेको जवाफमा पुनःस्थापित र आफ्नै तालिकामा मोडिएको जडान मार्क हो। टनेलका आफ्नै इन्क्रिप्टेड प्याकेट कहिल्यै तिनीसँग नमिलून् भनेर मार्क सीमित गर्नुहोस्।

प्रत्येक टनेलअनुसार प्रमाणित गर्नुहोस्, त्यसपछि एउटा रोक्नुहोस्

दुवै माथि आएपछि तीन पाठ लिनुहोस्: प्रत्येक टनेल यन्त्रको ठेगाना, प्रत्येकको पछाडि बस्ने होस्टसम्मको रुट, र दुवैको बाहिरको गन्तव्यले लिने बाटो। नियम खेलमा आउने बित्तिकै साधारण रुट सूचीले अन्तिम खोजको वर्णन गर्न छोड्छ, त्यसैले कर्नेललाई यसले साँच्चै के छान्छ भनेर सोध्नुहोस्। त्यसपछि एउटा इन्स्टेन्स रोक्नुहोस् र के हराउँछ हेर्नुहोस्। पहिलो रोक्दा दोस्रो बाधा पर्यो भने तिनीहरूबीच अझै केही साझा छ: रुट, यन्त्रको नाम, वा कसैले नछुट्याएको फायरवाल नियम।

ip rule show
ip route get 203.0.113.9

रोकिएको प्रोफाइल फर्काएर उही जाँच दोहोर्याउनुहोस्, किनकि रिबुटपछि एकचोटि काम गरेर फेरि कहिल्यै नगर्ने टनेल राउटिङको पोशाकमा जीवनचक्रको त्रुटि हो।

परिनियोजन नोटमा कुन प्रोफाइल कुन प्रिफिक्सको मालिक हो भनेर पूल दायराको छेउमा लेख्नुहोस्। दुई टनेल जानाजान गरिएको व्यवस्था हो, र अर्को पाठकले कुनै पनि प्रोफाइल छुनुअघि सीमा देख्नुपर्छ। त्यो नोट नभएमा साझा प्रिफिक्स अन्तिममा टुट्दा ड्युटीमा रहेको व्यक्तिले सीमा फेरि पत्ता लगाउँछ।