Bitta Linux xostida ikkita OpenVPN tunnel: yo'l kimniki?

Ikki profil ulangan va ulardan biri ikkinchisiga mo'ljallangan trafikni jimgina olib yurmoqda. Linux xosti ikkala OpenVPN mijozi bir vaqtda qiyinchiliksiz ishga tushira oladi. U qila olmaydigan narsa qaysi jarayon qaysi prefiksni talab qilishi mumkinligini sizning o'rningizga hal qilishdir. Bu qaror ikkinchi tunnel ko'tarilishidan oldin qabul qilinishi kerak, biron resurs javob berishni to'xtatgandan keyin emas.

Ikkinchi aloqa bajarishi kerak bo'lgan ishdan boshlang

Bitta profil orqali yetib boriladigan ofis va boshqasi orqali yetib boriladigan laboratoriya ikkala tunnelning ham ko'tarilishini va hech birining hamma narsani talab qilmasligini talab qiladi. Ikkinchi profil orqali chiqishi shart bo'lgan bitta qaysar ilova ikkinchi standart yo'l emas, balki siyosat qoidasiga muhtoj. Zaxira aloqa bir vaqtda faqat bitta ishlaydigan tunnelni talab qiladi, shuning uchun zaxira mashina bilan birga ishga tushmasligi kerak.

Bular uch xil konfiguratsiya va ular chalkashadi, chunki uchalasi ham bir xil boshlanadi: ikkinchi profil va muvaffaqiyatli ulanish. Avval mo'ljallangan tartibni yozib oling, keyin o'sha tomonga sozlang. Niyat haqidagi bitta gap bir soatlik paket ushlashni tejaydi.

systemctl list-units --type=service 'openvpn-client@*'
ip -4 route show default

Birinchi buyruq ishlab turgan nusxalarni sanaydi, menejerdan tashqarida qo'lda ishga tushirilganlar ham. Ikkinchisi joriy standart da'voni chop etadi va bu keyinchalik tushuntirishingiz kerak bo'ladigan holat.

Ustma-ust tushadigan hovuzlar marshrutlashdan oldin buziladi

Ikki server bir xil 10.8.0.0/24 dan manzillarni bajonidil ajratadi. Shunda mijoz bitta prefiks ichida ikkita interfeys tutadi va qaysi manzil qaysi biriga tegishli ekanini aytadigan hech narsa bo'lmaydi, natijada paydo bo'lgan xatti-harakat marshrutlash nosozligiga o'xshaydi, lekin aslida bu raqamlash nosozligi. Hovuzni qayta raqamlash bitta konfiguratsiya tahririga tushadi; keyingi har bir marshrutlash aylanma yo'li bir dam olish kuniga tushadi. Unga yo'l qo'shishdan oldin hovuzni tekshiring.

Mahalliy LAN ga ham qarang. Bitta tunnel ochib beradigan 192.168.1.0/24 raqamli uy LAN ham xuddi shu noaniqlikni keltirib chiqaradi va alomat ulanish hech qachon tugamay, yechiladigan xost nomidir. Yo'llarni chop etmaguningizcha bu nom yechish nosozligiga o'xshaydi.

ip -4 addr show
ip route show table all | grep -E '10\.|192\.168\.'

Mijozga tegishdan oldin ikkala chiqishni ikkala server konfiguratsiyasi bilan solishtiring. Agar prefikslar ustma-ust tushsa, to'xtang va qayta raqamlang, chunki qancha marta qayta ishga tushirsangiz ham ular ajralmaydi.

Har bir profilga o'z birligini, har bir prefiksga egasini bering

Har bir profil o'z nusxa nomi va o'z konfiguratsiya faylini oladi, shuning uchun office nomli nusxa office.conf ni, lab nomli nusxa lab.conf ni yuklaydi. Katalog ro'yxatiga ishonish o'rniga xizmat menejeri orqali bu moslikni tasdiqlang, chunki drop-in qaysi fayl yuklanishini o'zgartirishi mumkin. Moslikni xato qilish ishlamayotgan profilni sozlayotganingizni bildiradi.

Keyin yo'llarni kim o'rnatishini hal qiling. Serverlar mos kelmaydigan to'plamlarni itarganda, yo itarishni rad eting va prefikslarni o'zingiz sanang, yo bitta profilga standartni saqlab qolishga ruxsat bering, ikkinchisini siyosat qoidalari bilan boshqaring. Ikkalasi ham standart o'rnatadigan ikkita jarayon jimgina g'olib va qarorning yozma yozuvi bo'lmasdan tugaydi.

systemctl cat [email protected]
grep -E 'route-nopull|pull-filter|redirect-gateway' /etc/openvpn/client/lab.conf

Birinchi buyruq birlikni uning argumentlarini o'zgartiradigan har qanday bekor qilish bilan ko'rsatadi. Ikkinchisi profil itarilgan yo'llarni umuman qabul qiladimi-yo'qmi ko'rsatadi va bu keyingi hamma narsani belgilaydigan kalit.

Belgilar javoblarni ular kelgan interfeysda ushlab turadi

Har bir tunnel turli manbalarga xizmat qilganda, javob noto'g'ri aloqa orqali chiqib ketishi mumkin va ulanish birinchi paketdan keyin o'ladi. Bardosh beradigan naqsh kelayotgan paketlarni kirish interfeysi bo'yicha belgilash, bu belgini javobda tiklash va har bir belgiga o'z standart shlyuzi bo'lgan jadval berishdir.

Ta'sirlangan interfeyslar uchun odatda bo'shashgan teskari yo'l filtrlashni yumshatish kerak, chunki javob asosiy jadval hech qachon tanlamaydigan aloqa orqali qonuniy ravishda keladi. Belgilarni tor tuting, ular hech qachon tunnellarning o'z shifrlangan trafigini ushlamasin, aks holda tunnel o'zidan o'tib ketadi.

ip rule show
ip route show table 101
sysctl net.ipv4.conf.all.rp_filter

Yana bittasini qo'shishdan oldin mavjud qoidalarni o'qing. Ikki nusxadagi ustuvorliklar va unutilgan jadvallar belgi siyosati umuman ta'sir qilmayotgandek ko'rinishining odatiy sababidir.

Bitta aloqani to'xtatib izolyatsiyani isbotlang

Ikkala tunnel ko'tarilganda har bir interfeys manzilini, har bir tunnel orqasidagi bitta xostga yo'lni va aloqasiz manzil bosib o'tadigan yo'lni qayd eting. Bitta jadval o'qish o'rniga yadrodan qidiruvni so'rang, chunki bitta jadval hech qachon yakuniy qarorni ko'rsatmaydi.

Keyin bitta nusxani to'xtating va ikkinchisi davom etayotganda uning interfeysi va yo'llari yo'qolishini kuzating. Omon qolganida uzilish ikkalasi hali ham hech kim ajratmagan qurilma nomi, yo'l yoki tarmoq devori qoidasini bo'lishayotganini bildiradi.

To'xtatilgan profilni qaytaring va o'sha tekshiruvlarni takrorlang. Tunnel faqat qayta ishga tushirishdan keyingi birinchi ishga tushishda omon qolsa, siz marshrutlash dizaynini emas, hayot tsikli nuqsonini ko'ryapsiz.