Postrežba OpenVPN prek TCP in UDP z enega gostitelja
En proces pred 2.7 veže en transport. Primerjajte premosten par TAP, dve podomrežji TUN in skupni nabor, nato vsak profil uskladite z njegovim poslušalcem.
Omrežja, ki dovolijo le TCP 443, sobivajo z omrežji, ki UDP brez težav spustijo skozi, in en strežnik mora streči obema. Profil z proto udp odgovori drugi skupini in spodleti pri prvi, urejanje iste konfiguracije, da bi rekla proto tcp, pa ne ustvari drugega poslušalca. Direktiva izbere en transport za en proces. Vse ostalo izhaja iz te omejitve.
Ali zaženete več kot en proces, ali zaženete različico, ki lahko veže več vtičnic hkrati.
En proces pred 2.7 veže en transport
Skupnostni OpenVPN veže vtičnico, ki jo opisuje proto, in ta direktiva izbere en transport za primerek. TCP in UDP sta ločena sklada, zato lahko isto številko vrat hkrati zasedeta oba, ne pa en proces. Zato vrstica 2.6 ponuja en transport na demon. OpenVPN 2.7 je to omejitev za strežnike odstranil, saj lahko vežejo več vtičnic prek več izjav --local v enem procesu.
Preden načrtujete okoli katerega koli odgovora, preverite različico, ker je postavitev 2.7 drug operativni model z lastno konfiguracijsko sintakso. Vodnik, napisan za 2.6, opisuje dva procesa, tudi ko tega ne pove.
Trije načini za zagon dveh primerkov
Z vmesniki TAP zaženite en primerek na transport in premostite dve napravi tap na gostitelju. Obe skupini odjemalcev pristaneta v isti oddajni domeni, kar enemu naboru naslovov omogoči, da jih pokrije, in ohranja delovanje protokolov, odvisnih od oddajanja. Pri TUN premostitev ni na voljo, zato najpreprostejša delitev vsakemu primerku da svoje podomrežje, usmerjanje pa drži obe skupini odjemalcev ločeni. Tretja možnost ohrani en nabor tako, da vsak primerek pokliče skript learn-address, ki namesti pot /32 za odjemalca prek naprave tega primerka.
Ta tretja postavitev je tista, po kateri ljudje sprašujejo, in tista, ki zahteva največ skrbnosti, ker skript postane del podatkovne poti in mora pravilno obravnavati dogodke dodajanja, posodabljanja in brisanja.
| Arrangement | Interfaces | Address pool | Cost |
|---|---|---|---|
| Bridged TAP pair | Two tap devices joined by a bridge | One shared pool | Broadcast traffic and bridge maintenance |
| Two TUN subnets | Two tun devices, no bridge | One pool per instance | Routing rules and two plans |
| Shared pool with routes | Two tun devices plus a hook | One pool across both | A script on the data path |
Držite primerka ločeno
Vsak primerek potrebuje tudi ločena vrata ali naslov, ločeno statusno datoteko in ločen cilj dnevnika. Dva demona, ki dodajata v isto statusno datoteko, ustvarita izhod, ki ga med incidentom ni mogoče brati, in prav takrat ga potrebujete. Če drugi primerek veže določen naslov, mora ta naslov na gostitelju obstajati ob zagonu procesa; sicer se konča z napako vezave, preden pove karkoli o ključih.
Enote in profile poimenujte tako, da je transport očiten iz imena datoteke. Naslednji operater ne bi smel odpreti konfiguracije, da bi izvedel, kateri je TCP.
Uskladite profil s poslušalcem
Strežnik, ki poganja proto tcp, pričakuje odjemalski profil z proto tcp-client, profil, ki še vedno nosi proto udp, pa se proti temu poslušalcu izteče brez napake, na katero bi uporabnik lahko ukrepal. Obdržite dva profila, če uvajanje ponuja oba transporta, in ju označite, da bo podpora vedela, kateri je bil preizkušen. Samo številka vrat transporta ne opisuje.
Pravila požarnega zidu sledijo isti delitvi: pravilo za UDP 1194 ne pove nič o TCP 1194, pravilo za en naslov pa ne pokrije drugega poslušalca.
Najprej preberite pogled strežnika
Začnite z ss -lntup na strežniku in potrdite, da se pojavita poslušalec TCP in UDP. Nato povežite po enega odjemalca vsake vrste in preverite statusni izhod za dva vnosa z različnimi naslovi. Če vtičnice obstajajo in noben odjemalec ne pride, pot ali požarni zid zavračata pakete, preden jih demon vidi.
Vtičnica, ki se nikoli ne pojavi, je težava konfiguracije ali vezave, vtičnica, ki se pojavi, a nikoli ne zabeleži povezave, pa je težava filtriranja. Z vidika odjemalca sta obe enaki, zato je pogled samega strežnika prvi. Upoštevajte, da TCP nosi blokiranje na čelu vrste, zato je njegova ponudba ukrep dosegljivosti in ne izboljšava za odjemalce s čisto potjo UDP.