Två OpenVPN-klienter på en Linux-värd: vem äger rutten?

Båda profilerna rapporterar anslutning och en av dem bär tyst trafik som är avsedd för den andra. Två klienter på en värd är en stödd uppsättning; två klienter utan ägare för varje prefix är det inte. Arbetet handlar mindre om att resa den andra tunneln och mer om att avgöra vilken process som får göra anspråk på vilken rutt. Följ ordningen nedan och konfigurationen följer av svaren.

Börja med att fråga vad den andra tunneln är till för

Tre situationer ser identiska ut på statusraden och kräver olika design. En uppdelning efter mål skickar ett prefix genom kontorsprofilen och ett annat genom laboratorieprofilen, utan att någon av dem gör anspråk på en standardrutt. En uppdelning per program behåller oftast en full tunnel och styr viss trafik med policyregler. Failover håller exakt en tunnel uppe åt gången, vilket innebär att den andra inte får starta automatiskt.

Skriv ned fallet innan du öppnar någon konfigurationsfil, eftersom det svaret avgör allt därefter.

Den vanligaste trasiga uppsättningen är två fulla tunnlar som båda har tryckt ut en standardrutt, där den som anslöt sist vinner och den första fortsätter att låtsas. Det tillståndet ser avsiktligt ut från statusraden och slösar bort en dag från routingtabellen. Att namnge fallet först gör det omöjligt i stället för bara osannolikt.

Titta på poolerna före rutterna

Två servrar kan enkelt dela ut adresser från ett privat intervall, och när de gör det hamnar klienten med två gränssnitt inom ett enda prefix. Ingen destination kan då tillskrivas ett gränssnitt via adress, eftersom båda ser lika korrekta ut. Numrera om en pool i stället för att hitta på en regel för att bryta oavgjort.

Kontrollera även det lokala nätet, eftersom ett hem- eller kontors-LAN som överlappar ett tunnelområde skapar samma tvetydighet från andra sidan. Jämför adresserna på värden med båda serverkonfigurationerna innan du skyller på klienten. En pooländring på en laboratorieserver är en femminutersrättelse, medan en policy-routing-omväg för ett överlappande prefix är en permanent skatt för alla som läser konfigurationen senare. Bestäm vilken av de två du vill ha innan du väljer var du ska ingripa.

Två adressfamiljer innebär två omgångar av denna kontroll. IPv6-pooler kolliderar lika tyst som IPv4.

Ge varje profil en ägare

En instans per profil, en konfigurationsfil per instans och ett namn som identifierar paret. I Debian-liknande paketering väljer namnet efter @-tecknet filen, och därför kan två profiler som delar ett instansnamn aldrig båda fungera. Bekräfta mappningen från den installerade enheten och inte från en handledning.

systemctl cat [email protected]
ip -4 addr show

Bestäm sedan vem som installerar rutter, vilket är en policyfråga och inte en syntaxfråga.

När de två servrarna trycker ut inkompatibla uppsättningar, lägg antingen till route-nopull och lista bara de prefix som varje profil behöver, eller låt en behålla sin standardrutt och styr resten med en policyregel. Två processer som båda installerar en standardrutt slutar med en enda vinnare och ingen kan säga varför. Så snart de två tunnlarna bär trafik för olika källor kan ett svar gå ut genom den felaktiga, och mönstret som håller är en anslutningsmarkering som återställs på svar och styrs in i sin egen tabell. Begränsa markeringarna så att tunnlarnas egna krypterade paket aldrig matchar dem.

Verifiera per tunnel och stoppa sedan en

När båda är uppe, ta tre avläsningar: adressen på varje tunnelenhet, rutten till en värd som bor bakom var och en och vägen en destination utanför båda skulle ta. En vanlig ruttlista slutar beskriva den slutliga uppslagningen så snart regler är i spel, så fråga kärnan vad den faktiskt skulle välja. Stoppa sedan en instans och se vad som försvinner. Om stoppet av den första stör den andra är något fortfarande delat mellan dem: en rutt, ett enhetsnamn eller en brandväggsregel som ingen har separerat.

ip rule show
ip route get 203.0.113.9

Ta tillbaka den stoppade profilen och upprepa samma kontroller, eftersom en tunnel som fungerar en gång efter en omstart och aldrig igen är ett livscykelfel i routingkostym.

Notera i driftsättningsanteckningarna vilken profil som äger vilket prefix, bredvid poolområdena. Två tunnlar är en medveten uppsättning, och nästa läsare behöver se gränsen innan den rör någon av profilerna. Utan den anteckningen återupptäcks gränsen av den som har jour när det delade prefixet till slut går sönder.