Bitta Linux xostida ikkita OpenVPN mijozi: marshrut kimniki?

Ikkala profil ham ulanganini xabar qiladi va ulardan biri ikkinchisiga mo'ljallangan trafikni jimgina tashimoqda. Bitta xostda ikki mijoz qo'llab-quvvatlanadigan tuzilma; har bir prefiks uchun egasi bo'lmagan ikki mijoz esa unday emas. Ish ikkinchi tunnelni ko'tarishdan ko'ra qaysi jarayon qaysi marshrutni talab qila olishini hal qilishga ko'proq bog'liq. Quyidagi tartibni kuzatib boring, konfiguratsiya javoblardan kelib chiqadi.

Ikkinchi tunnel nima uchun kerakligini so'rashdan boshlang

Uch holat holat satrida bir xil ko'rinadi va turli loyihalarni talab qiladi. Manzil bo'yicha bo'lish bir prefiksni ofis profili orqali, ikkinchisini laboratoriya profili orqali yuboradi va hech biri standart marshrutni talab qilmaydi. Ilova bo'yicha bo'lish odatda bitta to'liq tunnelni saqlaydi va muayyan trafikni siyosat qoidalari bilan yo'naltiradi. Nosozlik yuz berganda almashtirish bir vaqtning o'zida aynan bitta tunnelni ish holatida saqlaydi, ya'ni ikkinchisi avtomatik ishga tushmasligi kerak.

Har qanday konfiguratsiya faylini ochishdan oldin vaziyatni yozib qo'ying, chunki o'sha javob keyingi hamma narsani belgilaydi.

Eng keng tarqalgan buzilgan tuzilma — ikkalasi ham standart marshrutni itarib yuborgan ikki to'liq tunnel; unda oxirgi ulangan yutadi, birinchisi esa o'zini tutishda davom etadi. Bu holat holat satridan ataylab qilingandek ko'rinadi va marshrutlash jadvalidan bir kunni yo'qotadi. Vaziyatni oldin nomlash uni shunchaki ehtimoldan tashqari emas, balki imkonsiz qiladi.

Marshrutlardan oldin hovuzlarga qarang

Ikki server bitta xususiy diapazondan manzillarni oson tarqatadi va shunday qilganda mijoz bitta prefiks ichida ikkita interfeys bilan qoladi. Shunda hech qanday manzilni manzil bo'yicha interfeysga bog'lab bo'lmaydi, chunki ikkalasi ham birdek to'g'ri ko'rinadi. Durangni buzish uchun qoida o'ylab topish o'rniga bitta hovuzni qayta raqamlang.

Mahalliy tarmoqni ham tekshiring, chunki tunnel diapazoni bilan qoplangan uy yoki ofis LAN ikkinchi tomondan xuddi shu noaniqlikni keltirib chiqaradi. Mijozni ayblashdan oldin xostdagi manzillarni ikkala server konfiguratsiyasi bilan solishtiring. Laboratoriya serverida hovuzni o'zgartirish besh daqiqalik tuzatish, ammo qoplangan prefiks uchun siyosat marshrutlashning aylanma yo'li keyinroq konfiguratsiyani o'qiydigan har bir kishi uchun doimiy soliq. Qayerga aralashishni tanlashdan oldin shu ikkisidan qaysi birini xohlashingizni hal qiling.

Ikki manzil oilasi bu tekshiruvning ikki bosqichini bildiradi. IPv6 hovuzlari IPv4 kabi jimgina to'qnashadi.

Har bir profilga ega bering

Har bir profil uchun bitta nusxa, har bir nusxa uchun bitta konfiguratsiya fayli va juftlikni aniqlaydigan bitta nom. Debian uslubidagi qadoqlashda @ belgisidan keyingi nom faylni tanlaydi, shuning uchun bir xil nusxa nomini bo'lishadigan ikki profil hech qachon ikkalasi ham ishlay olmaydi. Moslikni o'quv qo'llanmasidan emas, o'rnatilgan birlikdan tasdiqlang.

systemctl cat [email protected]
ip -4 addr show

Keyin marshrutlarni kim o'rnatishini hal qiling, bu siyosat masalasi, sintaksis emas.

Ikki server mos kelmaydigan to'plamlarni itarib yuborganda, yo qo'shing route-nopull va faqat har bir profilga kerakli prefikslarni sanab o'ting, yoki biriga standart marshrutini saqlashga ruxsat bering va qolganini siyosat qoidasi bilan yo'naltiring. Ikkalasi ham standart marshrutni o'rnatadigan ikki jarayon bitta g'olib bilan tugaydi va hech kim sababini ayta olmaydi. Ikki tunnel turli manbalar trafigini tashiy boshlaganda javob noto'g'ri tunneldan chiqishi mumkin, va bardosh beradigan naqsh — javoblarda tiklangan va o'z jadvaliga yo'naltirilgan ulanish belgisi. Belgi doirasini shunday cheklangki, tunnellarning o'z shifrlangan paketlari ularga hech qachon mos kelmasin.

Har bir tunnelni tekshiring, keyin bittasini to'xtating

Ikkalasi ham ko'tarilganda uchta ko'rsatkich oling: har bir tunnel qurilmasidagi manzil, har birining orqasida yashaydigan xostga marshrut va ikkisidan tashqaridagi manzil oladigan yo'l. Qoidalar o'yinga kirgan zahoti oddiy marshrut ro'yxati yakuniy qidiruvni tasvirlashni to'xtatadi, shuning uchun yadrodan u aslida nimani tanlashini so'rang. Keyin bitta nusxani to'xtatib, nima yo'qolishini kuzating. Birinchisini to'xtatish ikkinchisiga xalal bersa, ular orasida hali ham umumiy narsa bor: marshrut, qurilma nomi yoki hech kim ajratmagan xavfsizlik devori qoidasi.

ip rule show
ip route get 203.0.113.9

To'xtatilgan profilni qaytaring va o'sha tekshiruvlarni takrorlang, chunki qayta yuklashdan keyin bir marta ishlab, boshqa hech qachon ishlamaydigan tunnel — marshrutlash libosidagi hayot sikli xatosi.

Joylashtirish eslatmalarida qaysi profil qaysi prefiksga ega ekanini hovuz diapazonlari yoniga yozing. Ikki tunnel ataylab qilingan tuzilma, va keyingi o'quvchi har qanday profilga tegishdan oldin chegarani ko'rishi kerak. Bu eslatma bo'lmasa, chegarani umumiy prefiks nihoyat buzilganda navbatchi odam qaytadan kashf etadi.