Vibonyezo viwili vya OpenVPN kwenye mwenyeji mmoja wa Linux: njia ni ya nani?

Wasifu wawili wameunganishwa, na mmoja wao hubeba kwa utulivu trafiki iliyokusudiwa mwingine. Mwenyeji wa Linux anaweza kuendesha wateja wote wawili OpenVPN kwa wakati mmoja bila ugumu. Isichoweza ni kuamua kwa niaba yako ni mchakato gani unaweza kudai kiambishi awali kipi. Uamuzi huo lazima ufanywe kabla ya handaki la pili kupanda, sio baada ya rasilimali kuacha kujibu.

Anza na kazi ambayo kiungo cha pili kinapaswa kufanya

Ofisi inayofikika kwa wasifu mmoja na maabara inayofikika kwa mwingine zinahitaji handaki zote mbili juu na hakuna moja inayodai kila kitu. Programu moja mkaidi ambayo lazima itoke kupitia wasifu wa pili inahitaji kanuni ya sera badala ya njia ya pili ya chaguo-msingi. Kiungo cha akiba kinahitaji handaki moja tu inayoendesha kwa wakati mmoja, kwa hivyo akiba haipaswi kuanza na mashine.

Hizi ni usanidi tatu tofauti, na zinachanganywa kwa sababu zote tatu huanza kwa njia moja: wasifu wa pili na muunganisho uliofaulu. Andika mpangilio uliokusudiwa kwanza, kisha sanidi kuelekea hiyo. Sentensi moja kuhusu nia inaokoa saa moja ya kukamata pakiti.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Amri ya kwanza inaorodhesha matukio yanayoendesha, ikiwa ni pamoja na yale yaliyoanzishwa kwa mkono nje ya msimamizi. Ya pili inachapisha dai la chaguo-msingi la sasa, na hiyo ndiyo hali utakayolazimika kuieleza baadaye.

Madimbwi yanayopishana huvunjika kabla ya uelekezaji

Seva mbili zitagawanya anwani kutoka 10.8.0.0/24 moja kwa furaha. Mteja kisha hushikilia violesura viwili ndani ya kiambishi awali kimoja bila kitu kinachosema ni lengwa gani ni ya ipi, na tabia inayotokana inaonekana kama hitilafu ya uelekezaji lakini kwa kweli ni hitilafu ya uwekaji namba. Kuweka namba upya kwa dimbwi kunagharimu uhariri mmoja wa usanidi; kila mbinu ya uelekezaji baadaye inagharimu wikendi moja. Angalia dimbwi kabla ya kuongeza njia kwa ajili yake.

Angalia pia LAN ya ndani. LAN ya nyumbani yenye namba 192.168.1.0/24 ambayo handaki moja pia huifichua huzalisha utata huo huo, na dalili ni jina la mwenyeji linalotatuliwa wakati muunganisho haukamiliki kamwe. Hiyo inaonekana kama hitilafu ya utatuzi wa majina hadi uchapishaji njia.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Linganisha matokeo yote mawili na usanidi wote wa seva kabla ya kugusa mteja. Ikiwa viambishi awali vinaingiliana, simama na uweke namba upya, kwa sababu idadi yoyote ya kuanzisha upya haitawatenganisha.

Mpe kila wasifu kitengo chake na kila kiambishi awali mmiliki

Kila wasifu hupata jina lake la tukio na faili yake ya usanidi, kwa hivyo tukio linaloitwa office hupakia office.conf wakati lile linaloitwa lab hupakia lab.conf. Thibitisha ramani hiyo kupitia msimamizi wa huduma badala ya kuamini orodha ya saraka, kwa sababu drop-in inaweza kubadilisha faili ipi inapakiwa. Ramani isiyo sahihi inamaanisha unarekebisha wasifu ambao hauendeshi.

Kisha amua nani anasakinisha njia. Seva zinaposukuma seti zisizolingana, ama kataa msukumo na uorodheshe viambishi awali mwenyewe, au acha wasifu mmoja ubaki na chaguo-msingi na uongoze mwingine kwa kanuni za sera. Michakato miwili inayosakinisha chaguo-msingi wote huishia na mshindi wa kimya na bila rekodi ya maandishi ya uamuzi huo.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Ya kwanza inaonyesha kitengo pamoja na ubatilishaji wowote unaobadilisha hoja zake. Ya pili inaonyesha kama wasifu unakubali njia zilizosukumwa kabisa, na hiyo ndiyo swichi inayoamua kila kitu kinachofuata.

Alama hushikilia majibu kwenye violesura vilikotoka

Wakati kila handaki inahudumia vyanzo tofauti, jibu linaweza kutoka kwa kiungo kisicho sahihi na muunganisho hufa baada ya pakiti ya kwanza. Mfumo unaoshikilia ni kuweka alama kwa pakiti zinazoingia kulingana na violesura vya kuingiza, kurejesha alama hiyo kwenye jibu, na kumpa kila alama jedwali lenye lango lake la chaguo-msingi.

Uchujaji legelege wa njia ya kurudi kwa kawaida unapaswa kulegezwa kwa violesura vilivyoathirika, kwa sababu jibu hufika kwa halali kupitia kiungo ambacho jedwali kuu halingechagua kamwe. Weka alama nyembamba ili zisikamate kamwe trafiki iliyofichwa ya handaki zenyewe, ambayo ingetuma handaki kupitia yenyewe.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Soma kanuni zilizopo kabla ya kuongeza nyingine. Vipaumbele vilivyorudiwa na jedwali zilizosahaulika ndizo sababu ya kawaida kwa sera ya alama kuonekana haina athari yoyote.

Thibitisha utengano kwa kusimamisha kiungo kimoja

Handaki zote mbili zikiwa juu, rekodi anwani ya kila violesura, njia kuelekea mwenyeji mmoja nyuma ya kila handaki, na njia ambayo lengwa lisilohusiana huchukua. Uliza kernel kwa utafutaji badala ya kusoma jedwali moja, kwa sababu jedwali moja haionyeshi uamuzi wa mwisho.

Kisha simamisha tukio moja na uangalie violesura vyake na njia zake vikitoweka wakati lingine linaendelea. Kuvunjika kwa aliyeokoka kunamaanisha kuwa wawili bado wanashiriki jina la kifaa, njia au kanuni ya firewall ambayo hakuna aliyetenganisha.

Rudisha wasifu uliosimamishwa na urudie ukaguzi huo huo. Handaki inapookoka tu kuanza kwa kwanza baada ya kuwasha upya, unaangalia kasoro ya mzunguko wa maisha na sio muundo wa uelekezaji.