Dva odjemalca OpenVPN na enem gostitelju Linux: čigava je pot?

Oba profila poročata o povezavi in eden od njiju tiho prenaša promet, namenjen drugemu. Dva odjemalca na enem gostitelju sta podprta razporeditev; dva odjemalca brez lastnika za vsako predpono nista. Delo je manj o dvigovanju drugega tunela in bolj o odločitvi, kateri proces si lahko prisvoji katero pot. Pojdite po spodnjem vrstnem redu in konfiguracija izhaja iz odgovorov.

Začnite z vprašanjem, čemu je namenjen drugi tunel

Tri situacije so na statusni vrstici videti enako in zahtevajo različne zasnove. Razdelitev po ciljih pošlje eno predpono skozi pisarniški profil in drugo skozi laboratorijski, pri čemer nobena ne zahteva privzete poti. Razdelitev po aplikaciji običajno obdrži en poln tunel in usmerja določen promet s pravili politike. Preklop ob napaki ohranja vključen natanko en tunel hkrati, kar pomeni, da se drugi ne sme zagnati samodejno.

Zapišite primer, preden odprete katero koli konfiguracijsko datoteko, ker ta odgovor določi vse po njem.

Najpogostejša pokvarjena razporeditev sta dva polna tunela, ki sta oba potisnila privzeto pot, kjer zmaga tisti, ki se je povezal zadnji, prvi pa se še naprej pretvarja. To stanje je s statusne vrstice videti namerno in zapravi dan iz usmerjevalne tabele. Če primer poimenujete prvi, postane nemogoč, ne le malo verjeten.

Poglejte bazene pred potmi

Dva strežnika zlahka razdeljujeta naslove iz enega zasebnega obsega, in ko to storita, odjemalec konča z dvema vmesnikoma v eni sami predponi. Nobenega cilja potem ni mogoče pripisati vmesniku po naslovu, ker sta oba videti enako pravilna. Prenumerirajte en bazen, namesto da bi izumljali pravilo za razbijanje izenačenja.

Preverite tudi lokalno omrežje, ker domači ali pisarniški LAN, ki se prekriva z obsegom tunela, ustvari enako dvoumnost z druge strani. Primerjajte naslove na gostitelju z obema konfiguracijama strežnika, preden obtožite odjemalca. Sprememba bazena na laboratorijskem strežniku je popravek v petih minutah, medtem ko je obhod z usmerjanjem po politiki za prekrivajočo se predpono trajen davek za vsakogar, ki konfiguracijo prebere pozneje. Odločite se, katero od tega želite, preden izberete, kje poseči.

Dve naslovni družini pomenita dva kroga tega preverjanja. Bazeni IPv6 trčijo enako tiho kot IPv4.

Dajte vsakemu profilu lastnika

Ena instanca na profil, ena konfiguracijska datoteka na instanco in eno ime, ki par prepozna. Pri pakiranju v slogu Debian ime za znakom @ izbere datoteko, zato dva profila, ki si delita ime instance, nikoli ne moreta delovati oba. Potrdite preslikavo iz nameščene enote, ne iz vadnice.

systemctl cat [email protected]
ip -4 addr show

Nato se odločite, kdo namešča poti, kar je vprašanje politike, ne sintakse.

Ko dva strežnika potisneta nezdružljive nize, bodisi dodajte route-nopull in navedite samo predpone, ki jih vsak profil potrebuje, bodisi pustite enemu, da obdrži svojo privzeto pot, in usmerite ostalo s pravilom politike. Dva procesa, ki oba nameščata privzeto pot, končata z enim samim zmagovalcem in nihče ne more reči, zakaj. Ko dva tunela prenašata promet različnih virov, lahko odgovor odide skozi napačnega, vzorec, ki se obdrži, pa je oznaka povezave, obnovljena na odgovorih in usmerjena v lastno tabelo. Omejite oznake, da se lastni šifrirani paketi tunelov nikoli ne ujemajo z njimi.

Preverite po tunelu, nato enega ustavite

Ko sta oba gor, vzemite tri odčitke: naslov na vsaki tunelski napravi, pot do gostitelja, ki živi za vsakim od njiju, in pot, ki bi jo izbral cilj zunaj obeh. Običajen seznam poti preneha opisovati končno iskanje takoj, ko pridejo v igro pravila, zato vprašajte jedro, kaj bi v resnici izbralo. Nato ustavite eno instanco in opazujte, kaj izgine. Če zaustavitev prve moti drugo, je nekaj med njima še vedno skupno: pot, ime naprave ali pravilo požarnega zidu, ki ga nihče ni ločil.

ip rule show
ip route get 203.0.113.9

Vrnite ustavljeni profil in ponovite iste preglede, ker je tunel, ki po ponovnem zagonu deluje enkrat in nikoli več, napaka življenjskega cikla v kostumu usmerjanja.

V zapiskih o uvajanju zapišite, kateri profil ima katero predpono, ob obsegih bazenov. Dva tunela sta namerna razporeditev in naslednji bralec mora videti mejo, preden se dotakne katerega koli profila. Brez tega zapiska mejo znova odkrije tisti, ki je na dežurstvu, ko se skupna predpona končno zlomi.