To OpenVPN-klientar på éin Linux-vert: kven eig ruta?

Begge profilane rapporterer tilkopling, og ein av dei ber stille trafikk som er meint for den andre. To klientar på éin vert er ei støtta ordning; to klientar utan eigar for kvart prefiks er det ikkje. Arbeidet handlar mindre om å reisa den andre tunnelen og meir om å avgjera kva prosess som kan krevja kva rute. Gå gjennom rekkjefølgja nedanfor, og konfigurasjonen følgjer av svara.

Byrja med å spørja kva den andre tunnelen er til

Tre situasjonar ser identiske ut på statuslinja og treng ulike design. Ei oppdeling etter mål sender eitt prefiks gjennom kontorprofilen og eit anna gjennom laboratorieprofilen, utan at nokon av dei krev ei standardrute. Ei oppdeling per program held vanlegvis éin full tunnel og styrer bestemt trafikk med policyreglar. Failover held nøyaktig éin tunnel oppe om gongen, noko som tyder at den andre ikkje skal starta automatisk.

Skriv ned saka før du opnar noka konfigurasjonsfil, fordi det svaret avgjer alt etterpå.

Den vanlegaste øydelagde ordninga er to fulle tunnelar som begge har dytta ei standardrute, der den som kopla til sist vinn og den første held fram med å lata som. Den tilstanden ser tilsikta ut frå statuslinja og sløsar bort ein dag frå rutetabellen. Å namngje saka først gjer han umogleg i staden for berre usannsynleg.

Sjå på poolane før rutene

To serverar kan lett dela ut adresser frå eitt privat område, og når dei gjer det, endar klienten med to grensesnitt innanfor eitt prefiks. Ingen destinasjon kan då tilskrivast eit grensesnitt etter adresse, fordi begge ser like riktige ut. Omnummerer éin pool i staden for å finna opp ein regel for å bryta uavgjort.

Sjekk også det lokale nettet, fordi eit heime- eller kontor-LAN som overlappar eit tunnelområde skapar same tvitydigheit frå den andre sida. Samanlikn adressene på verten med begge serverkonfigurasjonane før du klandrar klienten. Ei poolendring på ein laboratorieserver er ei femminutts retting, medan ein policy-ruting-omveg for eit overlappande prefiks er ein permanent skatt for alle som les konfigurasjonen seinare. Bestem kva av dei to du vil ha før du vel kvar du grip inn.

To adressefamiliar tyder to rundar av denne kontrollen. IPv6-poolar kolliderer like stille som IPv4.

Gi kvar profil ein eigar

Éin instans per profil, éi konfigurasjonsfil per instans og eitt namn som identifiserer paret. I Debian-stil pakking vel namnet etter @-teiknet fila, og derfor kan to profilar som deler eit instansnamn aldri begge verka. Stadfest mappinga frå den installerte eininga i staden for frå ei rettleiing.

systemctl cat [email protected]
ip -4 addr show

Deretter avgjer du kven som installerer ruter, noko som er eit policyspørsmål og ikkje eit syntaksspørsmål.

Når dei to serverane dyttar inkompatible sett, må du anten leggja til route-nopull og berre lista prefiksa kvar profil treng, eller la éin behalda standardruta si og styra resten med ein policyregel. To prosessar som begge installerer ei standardrute, endar med éin einaste vinnar, og ingen kan seia kvifor. Når dei to tunnelane ber trafikk for ulike kjelder, kan eit svar gå ut gjennom feil tunnel, og mønsteret som held er ei tilkoplingsmerking som blir gjenoppretta på svar og styrt inn i si eiga tabell. Avgrensa merka slik at tunnelane sine eigne krypterte pakkar aldri matchar dei.

Verifiser per tunnel, og stopp så éin

Når begge er oppe, ta tre avlesingar: adressa på kvar tunnelseining, ruta til ein vert som bur bak kvar av dei, og vegen ein destinasjon utanfor begge ville ta. Ei vanleg rutevising sluttar å skildra det endelege oppslaget så snart reglar er i spel, så spør kjernen kva han faktisk ville velja. Stopp deretter éin instans og sjå kva som forsvinn. Viss stopp av den første forstyrrar den andre, er noko framleis delt mellom dei: ei rute, eit einingnamn eller ein brannmurregel ingen har skilt.

ip rule show
ip route get 203.0.113.9

Ta den stoppa profilen tilbake og gjenta dei same kontrollane, fordi ein tunnel som verkar éin gong etter ein omstart og aldri igjen, er ein livssyklusfeil i rutingkostyme.

Noter i utrullingsnotata kva profil som eig kva prefiks, ved sida av poolområda. To tunnelar er ei medviten ordning, og neste lesar treng å sjå grensa før han rører nokon av profilane. Utan den notata blir grensa gjenoppdaga av den som har vakt når det delte prefikset til slutt bryt.