Dy klientë OpenVPN në një host Linux: kujt i takon rruga?

Të dy profilet raportojnë lidhje dhe njëri prej tyre po transporton në heshtje trafik të destinuar për tjetrin. Dy klientë në një host është një rregullim i mbështetur; dy klientë pa pronar për çdo prefiks nuk është. Puna ka më pak të bëjë me ngritjen e tunelit të dytë dhe më shumë me vendimin se cili proces mund të pretendojë cilën rrugë. Ndiqni rendin më poshtë dhe konfigurimi rrjedh nga përgjigjet.

Filloni duke pyetur se për çfarë është tuneli i dytë

Tre situata duken njësoj në rreshtin e statusit dhe kërkojnë modele të ndryshme. Ndarja sipas destinacioneve dërgon një prefiks përmes profilit të zyrës dhe një tjetër përmes profilit të laboratorit, pa asnjë prej tyre që të pretendojë një rrugë të parazgjedhur. Ndarja sipas aplikacionit zakonisht mban një tunel të plotë dhe drejton trafik të caktuar me rregulla politike. Kalimi në rast dështimi mban saktësisht një tunel aktiv në një kohë, që do të thotë se i dyti nuk duhet të nisë automatikisht.

Shkruani rastin përpara se të hapni çdo skedar konfigurimi, sepse ajo përgjigje vendos gjithçka më pas.

Rregullimi më i zakonshëm i prishur është dy tunele të plotë që të dy kanë shtyrë një rrugë të parazgjedhur, ku fiton ai që u lidh i fundit dhe i pari vazhdon të pretendojë. Ai gjendje duket e qëllimshme nga rreshti i statusit dhe humb një ditë nga tabela e rrugëtimit. Emërtimi i rastit në fillim e bën atë të pamundur, jo thjesht të pabesueshëm.

Shikoni pishinat përpara rrugëve

Dy serverë mund të shpërndajnë lehtësisht adresa nga një interval privat dhe, kur e bëjnë, klienti përfundon me dy ndërfaqe brenda një prefiksi të vetëm. Atëherë asnjë destinacion nuk mund t’i atribuohet një ndërfaqeje sipas adresës, sepse të dyja duken njësoj të sakta. Rinumëroni një pishinë në vend që të shpikni një rregull për të thyer barazimin.

Kontrolloni edhe rrjetin lokal, sepse një LAN shtëpie ose zyre që mbivendoset me një interval tuneli krijon të njëjtën paqartësi nga ana tjetër. Krahasoni adresat në host me të dy konfigurimet e serverit përpara se të fajësoni klientin. Ndryshimi i pishinës në një server laboratori është një rregullim pesëminutësh, ndërsa një zgjidhje anashkaluese e rrugëtimit me politikë për një prefiks të mbivendosur është një taksë e përhershme për këdo që lexon konfigurimin më vonë. Vendosni se cilën nga të dyja dëshironi përpara se të zgjidhni ku të ndërhyni.

Dy familje adresash nënkuptojnë dy raunde të këtij kontrolli. Pishinat IPv6 përplasen po aq në heshtje sa IPv4.

Jepini çdo profili një pronar

Një instancë për profil, një skedar konfigurimi për instancë dhe një emër që identifikon çiftin. Në paketimin e stilit Debian emri pas shenjës @ zgjedh skedarin, prandaj dy profile që ndajnë një emër instance nuk mund të funksionojnë kurrë të dy. Konfirmoni hartëzimin nga njësia e instaluar, jo nga një tutorial.

systemctl cat [email protected]
ip -4 addr show

Më pas vendosni kush instalon rrugët, që është çështje politike dhe jo sintakse.

Kur dy serverët shtyjnë grupe të papajtueshme, ose shtoni route-nopull dhe renditni vetëm prefikset që i nevojiten çdo profili, ose lini njërin të mbajë rrugën e tij të parazgjedhur dhe drejtoni pjesën tjetër me një rregull politike. Dy procese që të dy instalojnë një rrugë të parazgjedhur përfundojnë me një fitues të vetëm dhe askush nuk mund të thotë pse. Sapo dy tunelet transportojnë trafik për burime të ndryshme, një përgjigje mund të dalë përmes tunelit të gabuar, dhe modeli që qëndron është një shenjë lidhjeje e rikthyer në përgjigje dhe e drejtuar në tabelën e vet. Kufizoni shenjat që paketat e kriptuara të vetë tuneleve të mos përputhen kurrë me to.

Verifikoni për çdo tunel, më pas ndaloni një

Kur të dy janë lart, merrni tre leximet: adresën në çdo pajisje tuneli, rrugën drejt një hosti që jeton pas secilit dhe shtegun që do të merrte një destinacion jashtë të dyve. Një listë e zakonshme rrugësh ndalon së përshkruari kërkimin përfundimtar sapo rregullat hyjnë në lojë, prandaj pyesni bërthamën se çfarë do të zgjidhte vërtet. Më pas ndaloni një instancë dhe shikoni çfarë zhduket. Nëse ndalimi i së parës shqetëson të dytën, diçka është ende e ndarë midis tyre: një rrugë, një emër pajisjeje ose një rregull muri zjarri që askush nuk e ndau.

ip rule show
ip route get 203.0.113.9

Ktheni profilin e ndaluar dhe përsëritni të njëjtat kontrolle, sepse një tunel që punon një herë pas një rindezjeje dhe kurrë më nuk është një gabim cikli jetësor i veshur si rrugëtim.

Shënoni në shënimet e vendosjes se cili profil zotëron cilin prefiks, pranë intervaleve të pishinave. Dy tunele janë një rregullim i qëllimshëm dhe lexuesi tjetër duhet ta shohë kufirin përpara se të prekë ndonjë profil. Pa atë shënim, kufirin e rizbulon ai që është në detyrë kur prefiksi i përbashkët më në fund thyhet.