په OpenVPN کې له مخکې جوړ شوی tun: د دوو مالکیت ماډلونو پرتله

یو چا tun1 له مخکې جوړ کړی، پروفایل وايي dev tun1، او اړیکه لا هم نه نښلول کېږي. په هوسټ کې د نوم شتون تقریباً هیڅ نه وايي، ځکه نښلول د نوم فضا، د وسیلې ډول، د لینک مالک چې څوک دی او د ډیمون لپاره څه اجازه لري پورې اړه لري. د وسیلې بیا کارول هغه پرېکړه هم اړ باسي چې ډیفالټ ترتیب یې پټوي: کومه برخه پتې او لارې لیکي. د دوو ترتیبو د ناکامۍ طریقې د ترتیب له کرښو ډېرې توپیر لري، نو د پروفایل له سمولو مخکې پرېکړه وکړئ.

نوم نښلول نه دي

dev tun1 له OpenVPN څخه هغه نومول شوی انټرفیس غواړي، او دودیز د کاروونکي فضا جوړښتونه به یې د پرانیستلو هڅه وکړي. که نوم د معمول tun یا tap بڼه تعقیب نه کړي، پروفایل ته اړوند dev-type هم اړین دی، ځکه ډول هېڅکله له یوې تارې نه اخیستل کېږي. TAP وسیله د بل لیبل TUN وسیله نه ده: غلط نښلول یا سمدلاسه ناکامېږي، یا هغه لینک جوړوي چې هغه فریمونه وړي چې هیڅوک یې تمه نه لري. له هر څه مخکې ډول وګورئ، ځکه هر وروستی کتنه فرض کوي چې دواړه خواوې پرې موافقې دي. له هغې وروسته، ډاډ ترلاسه کړئ چې بهیر کولی شي وسیله واقعاً پرانیزي، نه یوازې یې وویني.

dev tun1
dev-type tun

د شبکې انټرفیس او /dev/net/tun بېل شیان دي: یو د نوم فضا دننه لینک دی، بل هغه توري وسیله ده چې د کاروونکي فضا پروګرام د نښلولو لپاره کاروي. د Linux TUN/TAP اسناد هغه نښلولو لاره او د دوامداره وسیلو د مالکیت قواعد بیانوي. د root شیل چې کولی شي ip link وچلوي یوازې دا ثابتوي چې شیل واک لري، نه دا چې ډیمون یې لري. د وسیلې نوډ مالکیت، د خدمت د وړتیاوو ټولګه او هغه کاروونکی چې ترې لاندې چلیږي — ټول باید برابر شي، مخکې له دې چې پرانیستل بریالي شي.

هغه وسیله چې شتون لري او نه پرانیستل کېږي د مالکیت ستونزه ده، نه د لارښوونې. د نیمګړتیا په لټولو کې همداسې وګڼئ، که نه نو ماسپښین به د هغو لارښوونې جدولونو لوستلو ته ولاړ شي چې هېڅکله ستونزه نه وه.

لینک څوک ترتیبوي: دوه مالکیت ماډلونه

په لومړي ماډل کې OpenVPN پتې او لارې د اړیکې د پورته کولو د برخې په توګه ترتیبوي. دا ډیفالټ چلند دی او د پوهاوي لپاره تر ټولو اسانه، ځکه یوه برخه حالت جوړوي او بیا یې لرې کوي. په دویم ماډل کې یو بهرنی مدیر د انټرفیس مالک دی، او ifconfig-noexec OpenVPN ته اجازه نه ورکوي چې د پتو د ترتیب حکمونه وچلوي او پر ځای یې پیرامیټرونه سکریپټونو ته ورکوي. بیا مدیر باید پخپله سمه سیمه‌ایزه او همکاره ترتیبه پلي کړي، چې د اختیار له نوم ډېره کار ده. د دې دوو ترمنځ انتخاب دا پوښتنه ده چې لینک پورته وي، څوک یې بدلولی شي.

ifconfig-noexec یوازې پتې پټوي: د لارښوونې جدول نه لمس کېږي، او د لارو ترتیب route-noexec ته اړه لري. دواړه لارښوونې د بېلو مالکینو سره بېل کنټرولونه وګڼئ، ځکه یو ټاکل او بل فرض کول د نیمګړو ترتیب شوو لینکونو عامه سرچینه ده. د هر پوړ لپاره نېغ په نېغه یو مالک وټاکئ، پتې په یوه ځای او لارې په یوه ځای. د شبکې مدیر او د VPN مرستندوی دواړه چې پتې ولیکي، همدا هغه لار ده چې نښلول هغه حالت ړنګوي چې بله خوا لا پرې تکیه ده.

وسیله له هغې نوم فضا وګورئ چې اهمیت لري

وسیله له هغې نوم فضا وګورئ چې VPN بهیر پکې چلیږي، نه له هغې چې ستاسو شیل پکې ناڅاپه دی. لاندې دواړه حکمونه بېلو پوښتنو ته ځواب وايي، او توپیر هغه وخت ښکاري چې هوسټ هغه انټرفیس وویني چې کانټینر یې نه ویني. هغوی په ورکړل شوي ترتیب وچلوئ، ځکه دویم یوازې هغه وخت مانا لري چې پوه شئ لینک شته که نه.

ip -details link show dev tun1
ip tuntap show

لومړی حکم لینک هغسې چاپوي لکه کرنل چې یې ویني، د بیرغونو او انټرفیس ډول سره، او همداسې تایید کوئ چې دا هغه وسیله ده چې موټر یې لرل. دویم د دوامداره tun/tap ننوتلو لیست ورکوي، چې پرته له دې چې کوم بهیر یې ونیسي شتون لري. هغه انټرفیس چې د خپل ټاکل شوي مالک انتظار کوي له بل VPN سره نښلول شوي ژوندي تونل څخه بېل حالت دی، او یوازې دویم څرګندوي چې ستاسو خپل نښلول ولې ناکامېږي. له هر څه بدلولو مخکې هغه بهیر ومومئ چې وسیله نیسي، ځکه دوامداره ننوتنه او بوخت انټرفیس بېل حلونه لري.

د څو قطارونو ملاتړ د خپلو اړتیاوو سره ځانګړی ډرایور ترتیب دی، نه د بې‌اړیکو بهیرونو لپاره اجازه چې یو انټرفیس شریک کړي. د بل مالک ژوندی ناسته د همغږۍ ستونزه ده، او هېڅ د پروفایل سمون یې نه حل کوي.

د دوام دوه ډوله

د کرنل دوام او persist-tun هغه عمرونه بیانوي چې ګډول یې اسانه او غلطي یې ګرانه ده. دوامداره وسیله له هر بهیر څخه خپلواکه شتون لري، نو له تم کېدو ژغورل کېږي او راتلونکی پیل یې بیا کارولی شي. persist-tun سرچینې د یو OpenVPN بهیر دننه د ملاتړ شوو نرمو بیا تنظیمونو په اوږدو کې ساتي، ډېر لنډ افق. هېڅ یو یې ژمنه نه کوي چې د خدمت تمول به لارې او پتې په خپل ځای پرېږدي، او لیدل کېدونکی انټرفیس د کار کوونکي کوډ شوي ناستې ثبوت نه دی.

Backend هم تایید کړئ، ځکه له مخکې جوړ شوی انټرفیس هېڅ نه وايي چې کوم پلي کول یې پرانیزي. هغه ټولنیز جوړښتونه چې مستقیم معلوماتي لار لري به یې کارولو هڅه وکړي، پرته له دې چې ډیزاین بل څه ووايي. چېرې چې نسخه دا سویچ ملاتړ کوي، disable-dco پر ځای د کاروونکي فضا لار ټاکي؛ زاړه انجنونه او نور پیریدونکي داسې لارښوونه نه لري، نو د نسخې شرط د اختیار ترڅنګ وساتئ، مه فرض کوئ چې پلي کېږي.

کله چې یوازې پیل وازموئ څه ماتېږي

د مالکیت هوکړه کولی شي لومړنۍ ازموینه تېره کړي او په وروستۍ کې ناکامه شي، چې پیل یوازې کمزورې کتنه جوړوي. پر ځای یې دوه بدلونونه وګورئ: یو نرم بیا تنظیم، او یو بشپړ تم چې وروسته یې پیل وي.

systemctl status openvpn-client@lab
ip -details link show dev tun1

پیل اسانه حالت دی: واحد پورته راځي، لینک ښکاري، او د حالت تولید د بار شوي پروفایل نوم وايي. نښلول هغه شیبه ده چې ډیمون وسیله پرانیزي، نو د لینک کتنه وروسته له هغې وچلوئ چې واحد فعال راپور ورکړ، نه مخکې. که لینک شته وي او حالت لا فعالېږي، تاسو هغه دوامداره وسیله ګورئ چې لا هیڅوک پرې نښلي نه دي، نه کار کوونکی تونل. له پرمختګ مخکې د لینک له لارې ریښتینی ټرافیک تېر کړئ، ځکه د کارېدونکې لارې پرته نښلول شوی انټرفیس هم ناکامي ده.

kill -SIGHUP $(pidof openvpn)
journalctl -u openvpn-client@lab -n 40
systemctl stop openvpn-client@lab
ip -details link show dev tun1

نرم بیا تنظیم باید ناسته کارېدونکې او سرچینې روغې پرېږدي، او همدا هغه کار دی چې persist-tun یې کوي. بشپړ تم هغه ځای دی چې بهرنی مدیر ځان ښکاره کوي: که لینک یا پتې یې له تم څخه ژغورل شي، بل څوک یې مالک دی، او دا یا هغه حالت دی چې تاسو ثبت کړی یا همدا اوس موندل شوی خطا. دواړه کتنې د پروفایل ترڅنګ ولیکئ، تر څو راتلونکی بدلون له شاهدې پیل شي نه له نقشې.