عملاء الشبكة المحلية يتجاهلون VPN الموجّه حتى يبدأ التوجيه بالسياسة

يصل الموجّه إلى الإنترنت عبر نفق، بينما لا يزال حاسوب محمول خلفه يبلّغ عن عنوان مزوّد الخدمة. إضافة قواعد قبول لا تفيد، وهذا الفشل مفيد: الترشيح يجيب عمّا إذا كان يُسمح للحزمة بالمرور، لا عن وجهتها. لقد اتُّخذ اختيار الواجهة مسبقًا عبر بحث توجيه لا يعرف شيئًا عن قائمة عملائك. أصلح البحث، فتتوقف الجدار الناري عن أن يكون المشتبه به.

قاعدة الترشيح لا تستطيع اختيار الواجهة

يجري تدفق الحزم على موجّه Linux بأخذ قرار التوجيه أولًا ثم خطّاف التمرير بعده. بحلول الوقت الذي تطابق فيه قاعدة جهاز النفق الصادر، يكون النواة قد قرّر بالفعل أن النفق هو المخرج. إذا كان الجدول الرئيسي لا يزال يفضّل مسار WAN الافتراضي، فالحزمة في طريقها إلى مزوّد الخدمة وقاعدة القبول التي كتبتها للتو لا تراها أبدًا. هذه الحقيقة الواحدة في الترتيب تفسّر لماذا لا تغيّر صفحة كاملة من قواعد الجدار الناري شيئًا.

يستخدم المثال أدناه شبكة محلية 192.168.8.0/24 على br-lan، وجهاز نفق tun0، وجهاز استقبال واحد على 192.168.8.23 يجب أن يسلك النفق.

اقرأ البحث قبل تعديل القواعد

اطلب من النواة أن تحلّل مسارًا نيابة عن ذلك العميل. يتضمّن الرد جهاز الخروج وعنوان المصدر الذي سيُختار، وهذا كل ما تحتاجه لتأكيد التشخيص. إذا ذكر الرد جهاز WAN، فلم تكن للحزمة فرصة للوصول إلى قاعدتك.

ip -4 route get 198.51.100.7 from 192.168.8.23

كرّر الاستعلام لعميل يجب أن يبقى على المسار العادي. عندما يشير الجوابان إلى الجهاز نفسه، فلا توجد بعد سياسة حسب المصدر، والإصلاح ينتمي إلى التوجيه لا إلى الترشيح.

أرفق جدولًا بالعملاء الذين تريد تغطيتهم

يُدخل التوجيه بالسياسة بحثًا بالقواعد قبل الجدول الرئيسي. ابنِ جدولًا مساره الافتراضي هو النفق، ثم اربط ذلك الجدول بمحدِّد: واجهة إدخال، أو عنوان مصدر، أو علامة جدار ناري. الأولويات تحدّد الترتيب، والجدول الرئيسي يقع في أسفل القائمة عند 32766، لذا تُستشار القاعدة ذات الرقم المنخفض أولًا. محدِّدات الواجهة تغطّي كل عميل على الجسر؛ ومحدِّدات العنوان تغطّي جهازًا واحدًا.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

عادةً ما تعرض واجهات البرنامج الثابت الكائنات نفسها كصفحة التوجيه بالسياسة أو سياسة VPN. قائمة الأجهزة هناك أسهل في الصيانة من القواعد المكتوبة يدويًا وتميل إلى النجاة من الترقيات التي تغيّر صياغة القواعد.

اختر المحدِّد عن قصد. قاعدة الواجهة قصيرة وتمتدح المستقبل لكنها تلتقط أيضًا حركة إدارة الموجّه نفسه الواصلة على ذلك الجسر. قاعدة المصدر دقيقة وتحتاج إلى تعديل كلما تغيّرت قائمة الأجهزة. اكتب الاختيار، لأن الشخص التالي الذي يسأل لماذا يتصرّف جهاز بشكل مختلف سيحتاجه.

أبقِ الوجهات المحلية خارج النفق

الجدول الجديد لا يعرف إلا المسارات التي تضعها فيه. بادئة الشبكة المحلية مفقودة، لذا ستتبع حركة الطابعة وNAS المسار الافتراضي للنفق وتختفي. مسار throw ينهي البحث في هذا الجدول ويعيد القرار إلى الجدول الرئيسي.

ip -4 route add throw 192.168.8.0/24 table 200

تخطَّ ذلك المسار وتتعطّل المشاركات المحلية، وقد تختفي جلسة إدارة الموجّه إذا كان المحدِّد أوسع من المقصود. ثم احسم مسألة المصدر: حزم النفق التي ما زالت تحمل عناوين الشبكة المحلية تحتاج إلى أن يعرف الطرف الآخر مسار عودة، بينما يزيل الإخفاء على النفق ذلك الشرط ويزيل أيضًا هوية العميل التي سيراها الطرف الآخر.

القواعد والمسارات المضافة في وقت التشغيل تختفي بعد إعادة التشغيل أو تحديث البرنامج الثابت. أضِفها إلى آلية بدء تشغيل الموجّه، وأعد التشغيل مرة واحدة، ثم أعد الاختبار من العميل: عنوانه العام، وعميل ثانٍ يجب أن يبقى على WAN، وعدّادات النفق خلال اتصال جديد.