Twee OpenVPN-clients op één Linux-host: wie bezit de route?

Beide profielen melden verbinding en een van hen draagt stilletjes verkeer dat voor de ander bedoeld is. Twee clients op één host is een ondersteunde opstelling; twee clients zonder eigenaar per prefix niet. Het werk gaat minder over het opzetten van de tweede tunnel en meer over de vraag welk proces welke route mag claimen. Volg de volgorde hieronder en de configuratie volgt uit de antwoorden.

Begin met de vraag waarvoor de tweede tunnel dient

Drie situaties zien er op de statusregel identiek uit en vragen verschillende ontwerpen. Een splitsing per bestemming stuurt het ene prefix via het kantoorprofiel en het andere via het laboratoriumprofiel, zonder dat een van beide een standaardroute claimt. Een splitsing per toepassing houdt meestal één volledige tunnel en stuurt specifiek verkeer met beleidsregels. Failover houdt precies één tunnel tegelijk actief, wat betekent dat de tweede niet automatisch mag starten.

Schrijf het geval op voordat u een configuratiebestand opent, want dat antwoord bepaalt alles daarna.

De meest voorkomende kapotte opstelling zijn twee volledige tunnels die beide een standaardroute hebben geduwd, waarbij degene die het laatst verbond wint en de eerste blijft doen alsof. Die toestand ziet er vanaf de statusregel opzettelijk uit en verspilt een dag uit de routingtabel. Het geval eerst benoemen maakt het onmogelijk in plaats van alleen onwaarschijnlijk.

Kijk naar de pools vóór de routes

Twee servers kunnen gemakkelijk adressen uit één privébereik uitdelen, en als ze dat doen, eindigt de client met twee interfaces binnen één prefix. Geen bestemming kan dan op adres aan een interface worden toegewezen, omdat beide er even correct uitzien. Hernummer één pool in plaats van een regel te verzinnen om de gelijkstand te doorbreken.

Controleer ook het lokale netwerk, want een thuis- of kantoor-LAN dat een tunnelbereik overlapt, veroorzaakt dezelfde dubbelzinnigheid vanaf de andere kant. Vergelijk de adressen op de host met beide serverconfiguraties voordat u de client de schuld geeft. Een poolwijziging op een laboratoriumserver is een correctie van vijf minuten, terwijl een beleidsrouting-omweg voor een overlappend prefix een permanente belasting is voor iedereen die de configuratie later leest. Beslis welke van de twee u wilt voordat u kiest waar u ingrijpt.

Twee adresfamilies betekenen twee rondes van deze controle. IPv6-pools botsen even stil als IPv4.

Geef elk profiel een eigenaar

Eén instantie per profiel, één configuratiebestand per instantie en één naam die het paar identificeert. Bij Debian-achtige pakkettering kiest de naam na het @-teken het bestand, waardoor twee profielen die een instantienaam delen nooit beide kunnen werken. Bevestig de toewijzing vanuit de geïnstalleerde unit en niet vanuit een handleiding.

systemctl cat [email protected]
ip -4 addr show

Bepaal daarna wie de routes installeert, wat een kwestie van beleid is en niet van syntaxis.

Wanneer de twee servers onverenigbare sets duwen, voeg dan ofwel route-nopull toe en noem alleen de prefixen die elk profiel nodig heeft, of laat één zijn standaardroute houden en stuur de rest met een beleidsregel. Twee processen die beide een standaardroute installeren, eindigen met één winnaar en niemand kan zeggen waarom. Zodra de twee tunnels verkeer voor verschillende bronnen dragen, kan een antwoord via de verkeerde naar buiten gaan, en het patroon dat standhoudt is een verbindingsmarkering die op antwoorden wordt hersteld en in zijn eigen tabel wordt gestuurd. Beperk de markeringen zodat de eigen versleutelde pakketten van de tunnels er nooit op passen.

Verifieer per tunnel en stop er dan één

Als beide omhoog zijn, neem drie metingen: het adres op elk tunnelapparaat, de route naar een host die achter elk van beide leeft, en het pad dat een bestemming buiten beide zou nemen. Een gewone routelijst beschrijft de uiteindelijke opzoeking niet meer zodra regels in het spel zijn, dus vraag de kernel wat hij werkelijk zou kiezen. Stop dan één instantie en kijk wat verdwijnt. Als het stoppen van de eerste de tweede stoort, is er nog iets tussen hen gedeeld: een route, een apparaatnaam of een firewallregel die niemand heeft gescheiden.

ip rule show
ip route get 203.0.113.9

Breng het gestopte profiel terug en herhaal dezelfde controles, want een tunnel die na een herstart één keer werkt en nooit meer, is een levenscyclusfout in routingkostuum.

Noteer in de implementatienotities welk profiel welk prefix bezit, naast de poolbereiken. Twee tunnels zijn een bewuste opstelling, en de volgende lezer moet de grens zien voordat hij een van de profielen aanraakt. Zonder die notitie wordt de grens opnieuw ontdekt door degene die dienst heeft wanneer het gedeelde prefix eindelijk breekt.