Dvaja klienti OpenVPN na jednom hostiteľovi Linux: komu patrí trasa?

Oba profily hlásia pripojenie a jeden z nich ticho prenáša prevádzku určenú druhému. Dvaja klienti na jednom hostiteľovi sú podporované usporiadanie; dvaja klienti bez vlastníka pre každý prefix nie. Práca je menej o zdvihnutí druhého tunela a viac o rozhodnutí, ktorý proces si smie nárokovať ktorú trasu. Prejdite v poradí nižšie a konfigurácia vyplynie z odpovedí.

Začnite otázkou, na čo je druhý tunel

Tri situácie vyzerajú na stavovom riadku rovnako a vyžadujú rôzne riešenia. Rozdelenie podľa destinácií posiela jeden prefix cez kancelársky profil a druhý cez laboratórny, pričom ani jeden si nenárokuje predvolenú trasu. Rozdelenie podľa aplikácie zvyčajne drží jeden plný tunel a konkrétnu prevádzku smeruje pravidlami politiky. Prepnutie pri zlyhaní drží zapnutý presne jeden tunel naraz, čo znamená, že druhý nesmie štartovať automaticky.

Zapíšte prípad, než otvoríte akýkoľvek konfiguračný súbor, pretože tá odpoveď určuje všetko po ňom.

Najčastejšie pokazené usporiadanie sú dva plné tunely, ktoré oba pretlačili predvolenú trasu, kde vyhrá ten, kto sa pripojil posledný, a prvý naďalej predstiera. Taký stav vyzerá na stavovom riadku zámerne a premrhá deň z routovacej tabuľky. Keď prípad pomenujete prvý, stane sa nemožným, nie len nepravdepodobným.

Pozrite sa na pooly skôr než na trasy

Dva servery ľahko prideľujú adresy z jedného súkromného rozsahu, a keď to urobia, klient skončí s dvoma rozhraniami v jedinom prefixe. Žiadnu destináciu potom nemožno priradiť rozhraniu podľa adresy, pretože obe vyzerajú rovnako správne. Prečíslujte jeden pool namiesto vymýšľania pravidla na rozbitie remízy.

Skontrolujte aj miestnu sieť, pretože domáca alebo kancelárska LAN prekrývajúca rozsah tunela vytvára rovnakú nejednoznačnosť z druhej strany. Porovnajte adresy na hostiteľovi s oboma konfiguráciami servera, než obviníte klienta. Zmena poolu na laboratórnom serveri je päťminútová oprava, zatiaľ čo obchádzka s routovaním podľa politiky pre prekrývajúci sa prefix je trvalá daň pre každého, kto konfiguráciu neskôr číta. Rozhodnite, čo z toho chcete, než zvolíte, kam zasiahnuť.

Dve adresné rodiny znamenajú dve kolá tejto kontroly. Pooly IPv6 kolidujú rovnako ticho ako IPv4.

Dajte každému profilu vlastníka

Jedna inštancia na profil, jeden konfiguračný súbor na inštanciu a jedno meno, ktoré dvojicu identifikuje. V balení v štýle Debian vyberá súbor meno za znakom @, a preto dva profily zdieľajúce meno inštancie nikdy nemôžu fungovať oba. Overte mapovanie z nainštalovanej jednotky, nie z návodu.

systemctl cat [email protected]
ip -4 addr show

Potom rozhodnite, kto inštaluje trasy, čo je otázka politiky, nie syntaxe.

Keď dva servery pretlačia nekompatibilné sady, buď pridajte route-nopull a vymenujte len prefixy, ktoré každý profil potrebuje, alebo nechajte jednému jeho predvolenú trasu a zvyšok smerujte pravidlom politiky. Dva procesy, ktoré oba inštalujú predvolenú trasu, skončia s jediným víťazom a nikto nevie povedať prečo. Keď dva tunely nesú prevádzku pre rôzne zdroje, odpoveď môže vyjsť nesprávnym, a vzor, ktorý vydrží, je značka spojenia obnovená na odpovediach a smerovaná do vlastnej tabuľky. Obmedzte značky tak, aby vlastné šifrované pakety tunelov im nikdy nezodpovedali.

Overte každý tunel, potom jeden zastavte

Keď sú oba hore, vezmite tri odčítania: adresu na každom tunelovom zariadení, trasu k hostiteľovi, ktorý žije za každým z nich, a cestu, ktorou by išla destinácia mimo oboch. Bežný výpis trás prestane opisovať konečné hľadanie, len čo do hry vstúpia pravidlá, takže sa opýtajte jadra, čo by skutočne vybralo. Potom zastavte jednu inštanciu a sledujte, čo zmizne. Ak zastavenie prvej naruší druhú, niečo je medzi nimi stále zdieľané: trasa, meno zariadenia alebo pravidlo firewallu, ktoré nikto neoddelil.

ip rule show
ip route get 203.0.113.9

Vráťte zastavený profil a zopakujte tie isté kontroly, pretože tunel, ktorý po reštarte funguje raz a potom už nikdy, je chyba životného cyklu oblečená do kostýmu routovania.

Zapíšte do nasadzovacích poznámok, ktorý profil vlastní ktorý prefix, vedľa rozsahov poolov. Dva tunely sú zámerné usporiadanie a ďalší čitateľ potrebuje vidieť hranicu, než sa dotkne ktoréhokoľvek profilu. Bez tej poznámky hranicu znovu objaví ten, kto má službu, keď sa zdieľaný prefix napokon rozbije.