Tek Pi'de iki VPN atlaması: hangi rota hangi eşi taşır

Küçük bir kart üzerindeki iki tünel adresi hata gibi görünür ve refleks birini silmektir. Bu refleks düzeltmesi gereken şeyi bozar. İki atlama taşıyan bir ana makine her bağlantı için bir adres tutar ve her adres farklı bir rota tarafından seçilir. Sorulmaya değer soru, hangi rotanın hangi hedef için hangi taşıyıcıyı seçtiğidir, kaç adres olduğu değil.

Farklı taşıyıcılar gerektiren üç hedef

İki atlamalı zincir, üst üste yığılmış üç hedef sınıfıdır ve her biri farklı bir bağlantı tarafından taşınır. Dış eşe fiziksel bağlantı üzerinden ulaşılmalıdır. İç eşe dış tünel üzerinden ulaşılmalıdır. Kapsanan uygulamanın hedefine iç tünel üzerinden ulaşılmalıdır; onun kendi taşımasını dış tünel taşır.

Bir rotaya dokunmadan önce satırları okuyucunun gerçek adresleriyle doldurun, çünkü tablo ancak somut olduğunda işe yarar. Çalışan bir zincir dört satırın tümünü aynı anda karşılar ve yarı çalışan bir zincir genellikle bunlardan birini yanlış taşıyıcıyla karşılar. Yanlış satırı arıza olarak okumak, bir yönlendirme sorununu tam bir öğleden sonralık düzenlemeye dönüştürür.

Adreslerin sayısı değil rolü vardır

Linux bir arayüzde birkaç adrese ve bir ana makinede birkaç tünele izin verir, bu yüzden sayı doğruluk hakkında hiçbir şey söylemez. Önemli olan hangi adresin hangi bağlantıya ait olduğu ve belirli bir eş için rotanın amaçladığınız bağlantıyı seçip seçmediğidir. Üç görünüm buna üç yönden yanıt verir ve her seferinde aynı sırayla okunmaya değer.

Adres envanteri neyin var olduğunu ve hangi bağlantının ona sahip olduğunu gösterir. Rota tablosu sıradan hedef trafiği için taşıyıcı sorusunu yanıtlar. İlke görünümü, kaynak veya işarete göre seçilen trafik için yeniden yanıtlar; iki istemci tek bir ana makineyi paylaştığında olağan düzen budur.

ip -4 addr show
ip -4 route show table all
ip rule show

Liste uzun göründüğü için bir adresi silmek yolun bir bölümünü kaldırabilir ve gereksiz göründüğü için bir rotayı silmek aynı şeyi daha sessiz yapar. İkisi de hata üretmez; eş yalnızca amaçladığınız yolda yanıt vermeyi bırakır, başka bir yoldan erişilebilir kalır. İç eşin çıkış adresini bildiren bir uygulama, trafiğin dış tüneli geçtiğini kanıtlamaz, çünkü doğrudan erişim aynı gözlemi verir. Gözlem ile kanıt arasındaki bu boşluk, taşıyıcının yönlendirme katmanında denetlenmesinin nedenidir.

Etkinleştirme sırası sabit bir beklemeyi yener

İç istemci, dış istemcinin sağladığı bir adrese veya rotaya bağlıysa etkinleştirme bir gecikmeyi değil o kaynağı beklemelidir. Sabit bekleme, dış tünelin yavaş olduğu güne kadar çalışır ve sonra kimsenin yeniden üretemediği biçimde aralıklı olarak başarısız olur. Bağımlılığa dayalı sıralama tahmini ortadan kaldırır ve bağımlılığı bir kez tanımlamaktan başka bir maliyet getirmez. Arayüz adları da bir sıralama mekanizması değildir.

Çekirdek tun0 ve tun1 gibi adları oluşturma sırasına göre verir ve bu sıra yeniden başlatmalar veya yeniden bağlanmalar arasında değişebilir. Yapılandırmayı aracın sağladığı kimliğe veya bilinçli olarak atadığınız bir ada bağlayın. Sizin seçtiğiniz ad bir sözleşmedir; çekirdeğin seçtiği ad bir rastlantıdır.

Her istemcinin taşımasını diğerinin uygulama rotasının dışında tutun ve OpenVPN 2.6 yönlendirme seçeneklerinin gerçekte ne vaat ettiği konusunda kesin olun. Belgelenmiş varsayılan yönlendirme mekanizması, bir istemcinin kendi uzak eşine zaten var olan geçit üzerinden ulaşmasını sağlar ve bu belirli bir özyineleme döngüsünü keser. Bir istemciyi diğerinin taşıyıcısı yapmaz, bu yüzden zincirin geri kalanı sizin tasarımınız olarak kalır. Zincirin rota yerine ilke gerektirdiği yerlerde açık bir kaynak veya işaret kuralı yazın ve onu uyması gereken trafikle sınayın.

Dış atlama öldüğünde ne olur

Zincir tam sayılmadan önce dış atlama kaybolduğunda ne olacağına karar verin. İç istemcinin taşıması onunla birlikte ölür ve sonraki adım teknik değil ilke sorusudur: başarısız olmak, yeniden denemek veya fiziksel bağlantı üzerinden doğrudan yeniden bağlanmak. Düşünülmeye değer olan üçüncü sonuçtur. Kullanıcı kapsamın hâlâ bozulmadığına inandığı anda iki atlamalı tasarımı sessizce tek atlamalı tasarıma dönüştürür.

İki atlama zorunluysa iç istemci, dış olan yokken doğrudan bir yol kuramamalıdır ve bunu bilmenin yolu dış atlamayı kırıp iç olanın ne yaptığını izlemektir. Onaylanmış bir yedek meşru bir yanıttır, ancak yazılmalı, sınanmalı ve duyurulmalıdır. Kimsenin belgelemediği bir yedek, olay incelemesinde bir sızıntıdan ayırt edilemez.

DNS ve diğer adres ailesi aynı karara aittir. Yerelde üretilen bir sorgu, iletilen bir istemcinin değil ana makinenin kendi ilkesini izler, bu yüzden iletilen trafik için çalışan çözümleyici ana makinenin kendisinin kullandığı olmayabilir.

Her katmanı onu inşa ettiğiniz sırayla kabul edin

Zincirin inşa edildiği sırayla sınayın: önce tek başına dış tünel, sonra dış tünel üzerinden iç istemcinin taşıması, sonra iç tünel üzerinden uygulama. Her kabul, zaten açık olan bir sayfa değil yeni bir bağlantı olmalıdır. Sonra her katmanı ayrı ayrı kırın ve geri getirin ve bir sonrakinin ne yaptığını izleyin.

Yedek planın sonucu burada en değerli gözlemdir ve genel IP sayfasının asla göstermediği şeydir. Eşlerin yollarını, kullandıkları adresleri ve o sonucu yapılandırmanın yanına kaydedin, çünkü mutlu yol daha sonra sorgulanan kısım değildir.