To OpenVPN-klienter på én Linux-vert: hvem eier ruten?

Begge profilene rapporterer tilkobling, og én av dem bærer stille trafikk som er ment for den andre. To klienter på én vert er en støttet ordning; to klienter uten eier for hvert prefiks er det ikke. Arbeidet handler mindre om å reise den andre tunnelen og mer om å avgjøre hvilken prosess som kan kreve hvilken rute. Gå gjennom rekkefølgen nedenfor, og konfigurasjonen følger av svarene.

Begynn med å spørre hva den andre tunnelen er til

Tre situasjoner ser identiske ut på statuslinjen og trenger ulike design. En oppdeling etter mål sender ett prefiks gjennom kontorprofilen og et annet gjennom laboratorieprofilen, uten at noen av dem krever en standardrute. En oppdeling per program beholder vanligvis én full tunnel og styrer bestemt trafikk med policyregler. Failover holder nøyaktig én tunnel oppe om gangen, noe som betyr at den andre ikke skal starte automatisk.

Skriv ned saken før du åpner noen konfigurasjonsfil, fordi det svaret avgjør alt etterpå.

Den vanligste ødelagte ordningen er to fulle tunneler som begge har dyttet en standardrute, der den som koblet til sist vinner og den første fortsetter å late som. Den tilstanden ser tilsiktet ut fra statuslinjen og sløser bort en dag fra rutetabellen. Å navngi saken først gjør den umulig i stedet for bare usannsynlig.

Se på poolene før rutene

To servere kan lett dele ut adresser fra ett privat område, og når de gjør det, ender klienten med to grensesnitt innenfor ett prefiks. Ingen destinasjon kan da tilskrives et grensesnitt etter adresse, fordi begge ser like riktige ut. Omnummerer én pool i stedet for å finne opp en regel for å bryte uavgjort.

Sjekk også det lokale nettet, fordi et hjemme- eller kontor-LAN som overlapper et tunnelområde skaper samme tvetydighet fra den andre siden. Sammenlign adressene på verten med begge serverkonfigurasjonene før du klandrer klienten. En poolendring på en laboratorieserver er en femminutters rettelse, mens en policy-ruting-omvei for et overlappende prefiks er en permanent skatt for alle som leser konfigurasjonen senere. Bestem hvilken av de to du vil ha før du velger hvor du griper inn.

To adressefamilier betyr to runder av denne kontrollen. IPv6-pooler kolliderer like stille som IPv4.

Gi hver profil en eier

Én instans per profil, én konfigurasjonsfil per instans og ett navn som identifiserer paret. I Debian-stil pakking velger navnet etter @-tegnet filen, og derfor kan to profiler som deler et instansnavn aldri begge virke. Bekreft mappingen fra den installerte enheten i stedet for fra en veiledning.

systemctl cat [email protected]
ip -4 addr show

Deretter bestemmer du hvem som installerer ruter, noe som er et policy-spørsmål og ikke et syntaksspørsmål.

Når de to serverne dytter inkompatible sett, må du enten legge til route-nopull og bare liste prefiksene hver profil trenger, eller la én beholde standardruten sin og styre resten med en policyregel. To prosesser som begge installerer en standardrute, ender med én enkelt vinner, og ingen kan si hvorfor. Når de to tunnelene bærer trafikk for ulike kilder, kan et svar gå ut gjennom feil tunnel, og mønsteret som holder er en tilkoblingsmerking som gjenopprettes på svar og styres inn i sin egen tabell. Begrens merkene slik at tunnelenes egne krypterte pakker aldri matcher dem.

Verifiser per tunnel, og stopp så én

Når begge er oppe, ta tre avlesninger: adressen på hver tunnelenhet, ruten til en vert som bor bak hver av dem, og veien en destinasjon utenfor begge ville ta. En vanlig rutevisning slutter å beskrive det endelige oppslaget så snart regler er i spill, så spør kjernen hva den faktisk ville velge. Stopp deretter én instans og se hva som forsvinner. Hvis stopp av den første forstyrrer den andre, er noe fortsatt delt mellom dem: en rute, et enhetsnavn eller en brannmurregel ingen har skilt.

ip rule show
ip route get 203.0.113.9

Ta den stoppede profilen tilbake og gjenta de samme kontrollene, fordi en tunnel som virker én gang etter en omstart og aldri igjen, er en livssyklusfeil i rutingkostyme.

Noter i utrullingsnotatene hvilken profil som eier hvilket prefiks, ved siden av poolområdene. To tunneler er en bevisst ordning, og neste leser trenger å se grensen før den rører noen av profilene. Uten den noten blir grensen gjenoppdaget av den som har vakt når det delte prefikset til slutt bryter.