Два OpenVPN клијента на једном Linux домаћину: чија је рута?

Оба профила пријављују везу и један од њих тихо преноси саобраћај намењен другом. Два клијента на једном домаћину је подржано уређење; два клијента без власника за сваки префикс нису. Посао је мање о подизању другог тунела и више о одлуци који процес сме да тражи коју руту. Прођите редом испод и конфигурација следи из одговора.

Почните питањем чему служи други тунел

Три ситуације изгледају исто на статусној линији и траже различита решења. Подела по одредиштима шаље један префикс кроз канцеларијски профил, а други кроз лабораторијски, при чему ниједан не тражи подразумевану руту. Подела по апликацији обично држи један пун тунел и усмерава одређени саобраћај правилима политике. Пребацивање на резерву држи укључен тачно један тунел у датом тренутку, што значи да други не сме да стартује аутоматски.

Запишите случај пре отварања било које конфигурационе датотеке, јер тај одговор одређује све после.

Најчешће покварено уређење су два пуна тунела која су оба гурнула подразумевану руту, где побеђује онај који се последњи повезао, а први наставља да се претвара. То стање изгледа намерно са статусне линије и троши дан из табеле рутирања. Ако случај именујете први, он постаје немогућ, а не само мало вероватан.

Погледајте базене пре рута

Два сервера лако деле адресе из једног приватног опсега, и када то ураде, клијент заврши са два интерфејса унутар једног префикса. Ниједно одредиште се тада не може приписати интерфејсу по адреси, јер оба изгледају једнако исправно. Пренумеришите један базен уместо да измишљате правило за разбијање нерешеног.

Проверите и локалну мрежу, јер кућа или канцеларија LAN која се преклапа са опсегом тунела ствара исту двосмисленост са друге стране. Упоредите адресе на домаћину са обе конфигурације сервера пре него што оптужите клијента. Промена базена на лабораторијском серверу је петоминутна поправка, док је заобилажење са рутирањем по политици за преклопљени префикс трајан порез за свакога ко касније чита конфигурацију. Одлучите које од двоје желите пре него што изаберете где ћете интервенисати.

Две адресне фамилије значе два круга ове провере. IPv6 базени се сударају једнако тихо као IPv4.

Дајте сваком профилу власника

Једна инстанца по профилу, једна конфигурациона датотека по инстанци и једно име које идентификује пар. У паковању у стилу Debian име после знака @ бира датотеку, због чега два профила која деле име инстанце никада не могу да раде оба. Потврдите мапирање из инсталиране јединице, а не из туторијала.

systemctl cat [email protected]
ip -4 addr show

Затим одлучите ко инсталира руте, што је питање политике, а не синтаксе.

Када два сервера гурну некомпатибилне скупове, или додајте route-nopull и наведите само префиксе који су потребни сваком профилу, или пустите једном да задржи подразумевану руту и усмеравајте остатак правилом политике. Два процеса која оба инсталирају подразумевану руту завршавају са једним победником и нико не може да каже зашто. Када два тунела преносе саобраћај за различите изворе, одговор може да изађе кроз погрешан, а образац који се држи је ознака везе враћена на одговоре и усмерена у сопствену табелу. Ограничите ознаке тако да сопствени шифровани пакети тунела никада не одговарају њима.

Проверите по тунелу, затим зауставите један

Када су оба горе, узмите три очитавања: адресу на сваком тунелском уређају, руту до домаћина који живи иза сваког од њих и путању коју би узело одредиште изван оба. Обична листа рута престаје да описује коначну претрагу чим правила уђу у игру, зато питајте кернел шта би заиста изабрао. Затим зауставите једну инстанцу и гледајте шта нестаје. Ако заустављање прве ремети другу, нешто је још увек заједничко међу њима: рута, име уређаја или правило заштитног зида које нико није раздвојио.

ip rule show
ip route get 203.0.113.9

Вратите заустављени профил и поновите исте провере, јер тунел који ради једном после рестарта и никада више је грешка животног циклуса обучена у костим рутирања.

Запишите у белешкама за распоређивање који профил поседује који префикс, поред опсега базена. Два тунела су намерно уређење, а следећи читалац треба да види границу пре него што дотакне било који профил. Без те белешке, границу поново открива онај ко је на дежурству када се заједнички префикс коначно поквари.