النفق قائم ولا إنترنت: أين تتوقف إعادة التوجيه

يتصل العميل، وينقل النفق حزم ping إلى البوابة، ولا يردّ شيء بعدها. هذه الحالة طبيعية لبوابة لم تُصمّم إلا لمنح الوصول إلى شبكات محمية، وهي عطل بالنسبة لبوابة يُعلن عنها كمخرج نفق كامل. قبل تغيير القواعد، تأكد من الخدمة التي وُعدت بها. ثم تتبّع طلبًا عامًا واحدًا عبر المواضع الأربعة التي يمكن أن يتوقف عندها. طلب واحد وتسجيل حزم واحد يحلّان أكثر من صفحة من التخمينات.

تأكد مما إذا كان الخروج إلى الإنترنت هو التصميم أصلًا

يوجّه ملف النفق المنقسم الشبكات الفرعية المحمية فقط إلى VPN، لذا يستمر التصفح العام عبر الرابط المحلي ولا يلمس البوابة أبدًا. يثبّت ملف النفق الكامل مسارًا افتراضيًا داخل النفق، مما يجعل البوابة مسؤولة عن المسار كله. كلاهما تصميم مشروع، وخلطهما ينتج تقرير عطل حيث لا عطل. اقرأ المسارات التي يعلنها العميل قبل اختبار أي شيء آخر، لأن جدول المسارات يجيب عن السؤال الذي تطرحه التذكرة عادةً بشكل خاطئ.

ما يثبّته العميل ليس دائمًا ما يقصده الملف. يمكن أن يتجاوز مسار محلي ذو أولوية أقل مسارًا مدفوعًا، والعميل الذي يحتفظ بمسار LAN أثناء إضافة مسار افتراضي يتصرف كنفق منقسم لتلك الشبكة الفرعية.

تتبّع طلبًا عامًا واحدًا

اختر وجهة واحدة وتتبّعها من العميل إلى الخارج. على العميل، تحقق مما إذا كانت الحزمة تختار النفق فعلًا وأي عنوان محلي تستخدمه كمصدر. ثم افحص البوابة: هل تصل الحزمة، وهل تغادر الواجهة العامة. كل واحد من هذه الأجوبة يزيل فئة كاملة من الأسباب.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

إذا لم ترَ البوابة الحزمة أبدًا، فمسار العميل أو اختيار النفق خطأ. إذا وصلت ولم تغادر، فالمشكلة على البوابة، وتنطبق الفحوص الثلاثة المتبقية.

افحص إعادة التوجيه والمسار والترجمة

إرشادات إعادة التوجيه المرفقة مع strongSwan تنطبق على بوابة من أي نوع نفق: يجب السماح للنواة بنقل الحزم بين الواجهات، ويجب أن يشير مسار صالح نحو الإنترنت. ثم يجب أن تسمح سياسة الجدار الناري بالحركة، ويجب أن يكون عنوان المصدر عنوانًا تستطيع الجهة العامة الرد عليه. عنوان عميل خاص يُعاد توجيهه دون تغيير إلى الإنترنت لا يتلقى ردًا أبدًا.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

ترجمة المصدر هي الجزء المفقود المعتاد. بها تعيد البوابة كتابة مصدر العميل إلى عنوانها العام وتتبع التدفق؛ بدونها لا يجد الرد مكانًا يذهب إليه. تضيف منصات السحابة حدًا ثانيًا، حيث يمكن لجدول مسارات النسخة أو مجموعة الأمان أن تُسقط حركة يسمح بها الجدار الناري للضيف. هذا الحد يسهل تفويته لأن نظام الضيف يبدو من الداخل مهيأً بشكل صحيح.

يمكن لترشيح المسار العكسي في إعداد غير متماثل أن يتجاهل حزمًا صالحة أيضًا. اقرأ عدّاد تلك القاعدة بدلًا من افتراض أنها بخير، لأن الإعداد الصارم على الواجهة العامة يرفض حركة تصل عبر مسار مختلف عن الذي يتوقعه جدول المسارات.

مسار الرد والمُحلّل جوابان مختلفان

راقب الرد أيضًا، لا الطلب فقط. إذا خرج الطلب مترجمًا وعاد الرد إلى التدفق المترجم، فإن إعادة التوجيه تعمل حتى عندما يفشل التطبيق، ويكون التحقيق التالي من نصيب التطبيق أو DNS.

الموقع الذي يعيد خطأ HTTP دليل على أن إعادة التوجيه إلى الإنترنت تعمل. اسم لا يُحلّ بينما يعمل الوصول عبر العنوان مشكلة مُحلّل، لا مشكلة NAT.

بعد تصحيح دقيق، أعد اختبار العميل وأي مورد خاص مقيّد عن قصد. منح الوصول إلى الإنترنت يجب ألا يوسّع بهدوء الوصول إلى كل شبكة متصلة بالبوابة.