Bitta hostda OpenVPN serveri va klienti: mijozlar nima uchun uziladi
OpenVPN xizmatini ko'rsatib, o'zi ham foydalanadigan host tunnelni ushlab tursa ham, mahalliy mijozlar javoblarni yo'qotadi. Buni ikki narsa izohlaydi: umumiy hovuz va yangi standart marshrut.
Allaqachon VPN serveri ishlab turgan mashinaga mijoz profili qo'shing, birinchi zarar asl xizmatga tegadi. Yangi tunnel hech qachon o'rnatilmasligi mumkin, yoki serverning mavjud mijozlari jim ravishda javob olishni to'xtatganda u ko'tarilishi mumkin. Ikki to'qnashuv ikkala natijani ham beradi: allaqachon ishlatilayotgan tunnel hovuzi va yangi mijoz yarmi o'rnatadigan, butun jadvalni qoplaydigan standart marshrut. Hech biri OpenVPN xato xabarini chiqarmaydi, shuning uchun nosozlik server muammosi deb o'qiladi.
Bitta mashina, ikki rol va javoblar qayerga ketishi kerakligi haqida ikki mos kelmaydigan javob.
Bir xil hovuz, ikki server: qaysi biri yutadi
Har bir server nusxasiga o'z tunnel quyi tarmog'i kerak. server 10.8.0.0 255.255.255.0 kabi satrni ikkinchi konfiguratsiyaga ko'chirish ikki nusxaga bir xil prefiks beradi, natija esa yo ishga tushishdan bosh tortish, yo bir server mijozlari ikkinchisi ham o'ziniki deb hisoblaydigan manzillarni oladigan jim kurash bo'ladi. Turli UDP portlari va turli qurilma nomlari yordam bermaydi, chunki ikkalasi ham manzil maydoniga tegmaydi. Ikkinchi hovuzni o'zgartiring va marshrutlar uni eslatadigan hamma joyda o'zgartiring.
Tahrirlashdan oldin nima faol ekanini sanang: ip -4 addr show tunnel qurilmalarini sanaydi, ss -lunp tinglovchilarni sanaydi, systemctl list-units esa birliklarni nomlaydi. Tunnel manzillariga bir qarash hovuzlar to'qnashadimi-yo'qmi hal qiladi.
Mijoz profili jadvalga nima qo'shadi
Mijoz yarmi ulanishi bilanoq marshrutlarni yozadi. redirect-gateway def1 standart marshrutni 0.0.0.0/1 plyus 128.0.0.0/1 ga bo'ladi, ikkalasi ham yangi qurilma orqali yo'naltiriladi, shuningdek uzoq serverga boradigan va ataylab fizik interfeysga bog'langan host marshruti qo'shiladi. Bu bog'lanish tunnel o'z transporti uchun yo'lni saqlab qolishi uchun kerak. Qolgan hamma narsa, jumladan mahalliy server o'z mijozlariga qarzdor bo'lgan javoblar ham, endi yangi standartga ergashadi va uzoq aloqa orqali chiqadi.
Demak ikkinchi to'qnashuv buzilgan tunnel emas. Bu jadvalning noto'g'ri joyida turgan ishlaydigan tunnel.
Rollarni ajratib turishning uch yo'li
Eng kam aralashadigan tuzatish standart marshrutni mijoz profilidan tashqarida saqlaydi: uzoq prefikslar uchun route-nopull plyus aniq route satrlari, shunda mahalliy jadval faqat siz so'ragan joyda o'zgaradi. Keyingi qadam mahalliy tunnel quyi tarmog'ini ozod qiladigan siyosat qoidasi bo'lib, u standart marshrut mavjud bo'lsa ham mahalliy mijozlarga javoblar kelgan interfeysdan chiqishiga imkon beradi. Eng chuquri mijoz roli uchun alohida tarmoq nomlar fazosi bo'lib, u umumiy jadvalni butunlay olib tashlaydi, lekin saqlash uchun ikkinchi marshrutlash kontekstini talab qiladi.
Qaysi yo'lni tanlasangiz ham, istisno LAN emas, mahalliy tunnel quyi tarmog'ini nomlashi kerak. Mahalliy server yuboradigan javobning manzili tunnel manzili bo'ladi, shuning uchun LAN shaklidagi istisno unga hech qachon to'g'ri kelmaydi.
Ikki nusxadan qaysi biri aybdor
Mijoz nusxasini to'xtating va asl mijozlarni qayta sinab ko'ring. Darhol tiklanish marshrutlash demakdir, server emas. Mijozni qaytaring va manba hamda manzil manzillari berilgan ip route get bilan bitta javobni kuzatib boring, bu yadro tanlaydigan yo'lni ko'rsatadi, so'ngra paketlar haqiqatda qaysi interfeysdan foydalanishini tcpdump -ni any port 1194 bilan kuzating. Serverning holat fayli har bir necha soniyada status direktivasi orqali yoziladi va ulangan mijozlar ro'yxatini hamda ikki yo'nalishdagi bayt hisoblagichlarini saqlaydi.
Bu hisoblagichlarni bir-biriga qarab o'qing. Chiqib, hech qachon qaytmaydigan trafik qo'l berish muammosi emas, marshrutlash javobidir.