[tylko_grzanki]

#ovh #linux #sysadmin #siecikomputerowe #openvpn

Mirki, mam problem z failover-IP w OVH, pomożecie? Psuje mi OpenVPN...

Pacjent: maszyna wirtualna Ubuntu 16.04 LTS z dwoma kartami sieciowymi, ens18 w podsieci lokalnej, ens19 z przybitym adresem publicznym zgodnie z instrukcją OVH. Do podsieci lokalnej jest dostęp z OpenVPN z adresu 10.8.0.0 - można wejść z niego na wszystkie maszyny i jest cacy.

Problem pojawia się po włączeniu ens19 - tracę kontakt z podsiecią lokalną... bo na pingi, ssh i inne żądania puszczone z vpn-a odpowiada mi interfejs ens19 (publiczny). Wiadomo, odpowiada za to sposób w jaki OVH przekierowuje gateway (post-up route) ale po wywaleniu tego tracę dostęp do VM ze świata... Pomożecie?

Konfiguracja VM (a: adres failover, b: adres hosta):

$vi /etc/network/interfaces
auto ens18
iface ens18 inet static
 address 192.168.0.10
 netmask 255.255.255.0
 network 192.168.0.0
 broadcast 192.168.0.255

auto ens19
iface ens19 inet static
 address a.a.a.a
 netmask 255.255.255.255
 network a.a.a.255
 broadcast a.a.a.a
 post-up route add b.b.b.254 dev ens19
 post-up route add default gw b.b.b.254

 dns-nameservers 8.8.8.8 8.8.4.4 

$ route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 b.b.b.254 0.0.0.0 UG 0 0 0 ens19
b.b.b.254 0.0.0.0 255.255.255.255 UH 0 0 0 ens19
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 ens18

[flor4s]

@tylko_grzanki: Spoko, iptables wymaga trochę otrzaskania się bo na początku nie jest specjalnie przejrzyste. Dużo łatwiej też polegać na iptables-save bo widzisz interfejsy, a iptables -L tego nie pokazuje.

[flor4s]

@lis6502: Są dwie różne metody rozwiązania tego problemu. Pierwsza metoda czyli zmiana w regułkach iptables spowoduje że sieć 10.8.0.0/24 będzie ukryta. U @tylko_grzanki regułki te były błędne dlatego sieć nie była ukryta co potwierdził tcpdump jaki załączył.
Druga metoda zakłada, że nie ukrywamy sieci - czyli stan początkowy OPa. W takim wypadku musimy zapewnić trasę powrotną z maszynki B inną niż default - wtedy dodajemy trasę rutingu którą wspomniałeś. To są

[tylko_grzanki]

@flor4s: W tym konkretnym wypadku ograniczenie połączeń nie ma znaczenia; VPN używany jest wyłącznie do zarządzania maszynami z poziomu powłoki, aktualizacji itd.

Dzięki za obszerne wyjaśnienie, może jeszcze komuś w podobnej sytuacji się przyda.