Mteja wa OpenVPN anakwama wakati seva yake inafanya kazi kwenye mwenyeji yule yule

Nilikuwa na mashine ya maabara iliyokubali handaki kutoka eneo la mbali na pia ilipiga simu kwenda mtandao wa msambazaji. Profaili ya kutoka ilikuwa imefanya kazi kwa wiki. Baada ya seva ya kuingia kuongezwa, ile ya kutoka ilijiunga kisha ikaacha kupitisha trafiki ndani ya sekunde chache, au ilikataa kuanza na hitilafu kwamba anwani tayari inatumika. Faili za usanidi hazikuwa zimebadilika; mwenyeji alipata tu mchakato wa pili wa OpenVPN wenye maoni yake mwenyewe kuhusu bandari na njia.

Hitilafu si ya nasibu, na si tatizo la uthibitishaji. Daemon wawili kwenye mashine moja wanagombana kwa soketi moja ya ndani na jedwali moja la njia, na yule anayeanza au kuunganisha upya mwisho huwa anashinda. Kujua ni ipi kati ya migongano hii miwili unayo huamua wapi pa kuangalia kwanza.

Soma dalili kwa kurudi nyuma

Anza na wakati handaki inapokufa. Hitilafu ya kufunga wakati wa kuanza inaelekeza upande wa kusikiliza: kitu tayari kinamiliki bandari hiyo, na OpenVPN inakataa kuanza badala ya kuishiriki. Handaki inayoinuka kisha kunyamaza inaelekeza kwenye uelekezaji, kwa sababu njia iliyowekwa na mfano mwingine inaweza kuvuta pakiti za muunganisho wa nje kutoka kwenye njia yao.

Kesi zote mbili huzalisha malalamiko yale yale ya mtumiaji, ndiyo sababu mizunguko ya kujaribu tena na skripti za mlinzi hazirekebishi chochote. Zinaunganisha mteja tena kwenye mgongano ule ule. Swali la kwanza lenye manufaa ni kama mchakato bado unaendelea trafiki inaposimama.

Soketi moja na kifaa kimoja kwa kila mfano

Seva inayosikiliza hufunga bandari yake; mteja anayetoka pia anahitaji bandari ya ndani kwa trafiki yake iliyofungwa. Wakati wote wawili wanaishi kwenye mwenyeji mmoja, tabia ya kawaida ya mteja inaweza kugongana na bandari ya seva. Bandari ya ndani ya mteja inaweza kufungwa, na kufunga kunaweza kurukwa pale mwenzake hahitaji bandari maalum ya chanzo:

lport 1195
nobind
dev tun1

Nambari hizo ni mifano, si sharti. Kilicho muhimu ni kwamba mteja aache kugombana kwa bandari ya seva na kila mfano upate kifaa tofauti cha handaki. Daemon wawili wanaoshiriki tun0 huandikiana juu ya hali ya kifaa cha mwenzake hata bandari zao zikiwa tofauti, kwa hiyo kifaa kimoja kwa handaki si hiari.

nobind ni ya upande wa mteja. Seva bado inapaswa kufunga na kusikiliza, kwa hiyo usinakili mstari kwenye usanidi wa seva, na usizime kufunga kwa mteja ambaye mwenzake huchuja kwa bandari maalum ya chanzo.

Chagua mmiliki mmoja wa njia ya kawaida

Muunganisho mmoja tu unaweza kuweka njia ya kawaida. Ikiwa profaili zote mbili zinaelekeza trafiki yote, muunganisho wa pili unabadilisha wa kwanza kwa kimya, na wa kwanza unaonekana umevunjika. Ama uache handaki ya kutoka imegawanywa na usukume viambishi vya msambazaji tu, au uipe jedwali tofauti la uelekezaji.

ip rule add from 10.9.0.2 table 120
ip route add default dev tun1 table 120
ip route get 10.9.0.2

Anwani na namba ya jedwali hapo juu ni vielelezo. Mara baada ya kuongeza kanuni, thibitisha kwamba anwani ya seva ya VPN yenyewe bado inatatuliwa kupitia jedwali la kawaida; jedwali linalokamata usafirishaji wa nje huvunja handaki iliyokusudiwa kuilinda, na mzunguko wa kuunganisha upya unaofuata unaonekana kama mtoa huduma asiyeaminika.

Kwa usanidi ambao lazima ustahimili kuunganisha upya na kuwasha upya, nafasi ya majina ya mtandao ndiyo mpaka imara zaidi. Mteja wa pili anaendesha ndani ya nafasi yake ya majina na violesura na njia zake mwenyewe, na ni huduma zinazopaswa kuvuka tu zinazofichuliwa. Mwenyeji huhifadhi njia moja ya kawaida, na kuunganisha upya kwa nafasi ya majina hakuwezi kuandika juu yake.

Thibitisha kwa jedwali, si kwa mstari wa hali

Mteja anayeripoti kuwa ameunganishwa huthibitisha kituo chake cha udhibiti tu. Nasa hali ya uelekezaji kabla na baada ya kila muunganisho, kisha uliza kernel ni kifaa gani lengo halisi litatumia:

ip route show
ip route get 10.40.0.20
ss -lunp | grep 1194

Ikiwa kifaa kilichochaguliwa kwa anwani ya msambazaji kinabadilika wakati handaki ya pili inaanza, una mgongano wa njia. Ikiwa michakato yote miwili inaonekana kwenye bandari moja ya ndani, una mgongano wa soketi. Kurekebisha la kwanza bila la pili kunahamisha tu hitilafu kwenye muunganisho upya unaofuata.

Andika bandari, vifaa, majedwali na mmiliki wa njia kwenye kitabu cha uendeshaji cha mwenyeji. Vinginevyo mtu anayefuata kuongeza handaki ya tatu atagundua tena mgongano ule ule, na ushahidi pekee unaoonekana utakuwa muunganisho unaofanya kazi hadi daemon ya mtu mwingine ianze upya.