[tylko_grzanki]

#ovh #linux #sysadmin #siecikomputerowe #openvpn

Mirki, mam problem z failover-IP w OVH, pomożecie? Psuje mi OpenVPN...

Pacjent: maszyna wirtualna Ubuntu 16.04 LTS z dwoma kartami sieciowymi, ens18 w podsieci lokalnej, ens19 z przybitym adresem publicznym zgodnie z instrukcją OVH. Do podsieci lokalnej jest dostęp z OpenVPN z adresu 10.8.0.0 - można wejść z niego na wszystkie maszyny i jest cacy.

Problem pojawia się po włączeniu ens19 - tracę kontakt z podsiecią lokalną... bo na pingi, ssh i inne żądania puszczone z vpn-a odpowiada mi interfejs ens19 (publiczny). Wiadomo, odpowiada za to sposób w jaki OVH przekierowuje gateway (post-up route) ale po wywaleniu tego tracę dostęp do VM ze świata... Pomożecie?

Konfiguracja VM (a: adres failover, b: adres hosta):

$vi /etc/network/interfaces
auto ens18
iface ens18 inet static
 address 192.168.0.10
 netmask 255.255.255.0
 network 192.168.0.0
 broadcast 192.168.0.255

auto ens19
iface ens19 inet static
 address a.a.a.a
 netmask 255.255.255.255
 network a.a.a.255
 broadcast a.a.a.a
 post-up route add b.b.b.254 dev ens19
 post-up route add default gw b.b.b.254

 dns-nameservers 8.8.8.8 8.8.4.4 

$ route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 b.b.b.254 0.0.0.0 UG 0 0 0 ens19
b.b.b.254 0.0.0.0 255.255.255.255 UH 0 0 0 ens19
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 ens18

[V.....2]

@tylko_grzanki: ta maszyna to hostowana jest na dedyku? Public Cloud? No i pytanie czy odwrotna kolejność interfejsów nie wpływa na działanie routingu. Bujałem się z czymś podobnym u innego dostawcy. Musiałem wymusić routing a z czasem po prostu zmieniłem konfig wirtualki (zamieniłem kolejność interfejsów). Tak to co proponuje OVH nie powinno mieć wpływu na openvpna

[tylko_grzanki]

@Virgo92: Hostowana na dedyku z QEMU. Już podmieniam kolejność i patrzymy...

[tylko_grzanki]

@Virgo92: No niestety zamiana interface nie pomogła. Dalej to samo. Co ciekawe mam drugi serwer z analogiczną konfiguracją, configi kreska w kreskę identyczne - a działa. Czary :/

[V.....2]

@tylko_grzanki: a przenieś tamta maszynę na ten serwer i zobacz czy po zmianie adresacji się krzyczy. Tak wyeliminujesz soft albo operatora :p

[tylko_grzanki]

@Virgo92: nie da się, dwie różne firmy

[V.....2]

@tylko_grzanki: Hmm. A czy ovpn cośkolwiek loguje?

[V.....2]

No i debuguj przez novnc ;)

[tylko_grzanki]

@Virgo92: nic, brak pakietów zwrotnych. Sprawdzałem tcpdump i lecą na drugi interface na inną podsieć, więc openvpn nie ma szans nic zalogować.

[tylko_grzanki]

@lis6502: to konfiguracja zalecana przez OVH, zaraz zobaczę czy wywalenie default coś da

[tylko_grzanki]

@lis6502: Kiszka. Po wywaleniu default IP przestaje być widoczne ze świata a serwer przestaje widzieć adresy publiczne.

[tylko_grzanki]

@lis6502: Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
b.b.b.254 0.0.0.0 255.255.255.255 UH 0 0 0 ens19
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 ens18

sęk w tym że VM nie jest widoczna ze świata w tym układzie. z openvpn rzecz jasna też.
Wchodzę na nią pośrednio z innej wirtualki.

[tylko_grzanki]

@lis6502: Próbowałem też tego i kiszka; nie pomaga, ze świata go nie widać ale VPN łapie. Coś mi się wydaje, że jedynym wyjściem jest jakiś magiczny wpis w iptables a w tej materii niestety zbyt mocny nie jestem.

Tak nawiasem te cholerne ens-y to aliasy i można je zablokować w confie GRUB-a:

GRUB_CMDLINE_LINUX="net.ifnames=0 biosdevname=0"

ale i tak pół świata tego dziadostwa używa więc trzeba

[tylko_grzanki]

@lis6502: Po kolei;
serwer vpn jest na innej maszynie; daje adresację 10.8.0.0/24 i natuje się z masqaradą ze swojego ip 192.168.0.1 na podsieć 192.168.0.0/24 - i hula to ładnie i bezproblemowo na wszystkich maszynach poza tą, która ma dwa interface. Jak podniesiony jest tylko jej lokalny interface ens18 z adresem 192.168.0.10 wszystko jest cacy, ssh-uję się na niego z peceta przez VPN i z innych maszyn.
Jak podniosę ens19 z

[tylko_grzanki]

@lis6502: tak, dokładnie. To tun ma podsieć 10.8.0.0/24 i ona jest natowana na 192.168.0.0/24 pozostałych maszyn.
Z tym że VPN jest na innej wirtualce, nie na tej z którą jest problem.