Körpülü OpenVPN müştərilərində internet yoxdur? NAT qaydasını yoxlayın

Körpülü server işləyir, masquerade qaydası mövcuddur, amma müştəridəki brauzer hələ də fırlanır. Hər şey işləməli görünür, buna görə ilk saat tunelin və etimad məlumatlarının yoxlanmasına gedir. Sonra NAT qaydasındakı sayğaca baxırsınız və tərpənməmiş bir sıfır görürsünüz. Heç vaxt paket saymamış qayda heç bir paketə uyğun gəlməmişdir və körpülü serverdə səbəb strukturdur: müştəri trafiki virtual tap cihazından çıxır, qayda isə köhnə təlimatdan köçürdüyünüz fiziki kartı göstərir.

Sübut cədvəldəki sətir deyil, sayğacdır

Mövcud olan qaydalarla uyğun gələn qaydalar fərqli şeylərdir və onları ayıran sayğacdır. NAT cədvəlini ətraflı sayğaclarla sadalayın və hər şeyi dəyişməzdən əvvəl hər qaydanın yanındakı rəqəmləri oxuyun. Trafik axarkən sıfırda dayanan sayğac qaydanın keçildiyini bildirir, ünvanları nə qədər məqul görünsə də. Bağlantı hələ də uğursuz olarkən artan sayğac sizi başqa yerə yönəldir: yönləndirmə, geri yol və ya uzaq tərəf.

iptables -t nat -L POSTROUTING -v -n

Əvvəlcə interfeys uyğunluğunun yanındakı sayğacı oxuyun. Mənbə diapazonu düzdürsə və çıxış tərəfi səhvdirsə, düzəliş tamamilə yeni qayda deyil, qaydadakı bir sözdür.

Nüvənin həqiqətən qeyd etdiyi adı tapın

Qaydanı yazmazdan əvvəl tunel cihazını yaddaşa deyil, interfeys siyahısına əsaslanaraq adla müəyyən edin. Körpülü OpenVPN qurulumunda cihaz adətən serverin yaratdığı tap interfeysidir və onun adı universal sabit deyil, yerli konfiqurasiyanızın bir hissəsidir. Tunel işləyərkən onun mövcud olduğunu təsdiqləyin, çünki yalnız müştəri qoşulduqdan sonra görünən cihaz əvvəlki testi qayda problemi kimi göstərəcək.

ip -brief link

Adı yazın. Bu diaqnozdakı hər sonrakı əmr ona istinad edir və buradakı yazı səhvi ilkin səhvlə tamamilə eyni sıfır sayğac verir.

Qaydanı tunel cihazına görə yenidən yazın

Qaydayı tunel cihazına yönəldin və müştəri diapazonunu onun uyğunluq şərti kimi saxlayın ki, tunel trafikini əhatə etsin və hostun öz bağlantılarına toxunmasın. Öz diapazonunuzu və cihaz adınızı yerinə qoyun, çünki aşağıdakıların ikisi də nümunədir və heç biri quraşdırmalar arasında daşınmır.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Sonra eyni simptomun gizlətdiyi digər iki şərti yoxlayın. Yönləndirmənin aktiv olub-olmadığını yoxlayın və deyilsə, onu yenidən başlatmada itən echo ilə deyil, distributivin öz konfiqurasiyasında aktivləşdirin. Forward zəncirinin sayğaclarını da oxuyun və tunel trafikini rədd edirsə, yalnız həmin interfeysə icazə verin və zəncir siyasətinə toxunmayın.

Forward zəncirini sayğaclarla oxumaq bir əmr çəkir və başqa bir qaydaya toxunmazdan əvvəl qalan ehtimalların yarısını istisna edir.

Fiziki kart niyə heç vaxt uyğun gəlmir

Körpü tap cihazından və bir fiziki interfeysdən yığılmış proqram keçididir. Müştəri kadrı bu keçidə daxil olur və fiziki şəbəkəyə kartdakı paket kimi deyil, körpünün üzvü kimi çıxır. Buna görə nüvə paketi körpüyə və onun portuna aid edir, yəni düşündüyünüz kart uyğunluqda heç vaxt görünmür. Fiziki interfeysdə heç nə pozulmayıb; sadəcə nüvənin həmin paketə aid etdiyi cihaz deyil.

İnsanların sonra rastlaşdığı növbəti problem də eyni strukturdan gəlir: körpüdə kadr filtrləmə IP filtrləmədən ayrı bir imkandır. Tələb kadr səviyyəsində məhdudiyyətdirsə, bu, körpü filtrləməsinə aiddir, IP cədvəli qaydasına deyil.

Bunu başdan sona sübut edin, sonra qalıcı edin

Tək bir müştəri qaldırın və serverin LAN-da nəyisə ping edin; bu yol heç bir tərcümə olmadan yönləndirməni sınaqdan keçirir. Sonra masquerade qaydasının istifadə olunması üçün ictimai bir ünvana sorğu göndərin və sayğacı bir daha oxuyun: bu test üçün hərəkət etməli, əvvəlki üçün isə yox. Tunel cihazında götürülən ələ keçirmə kadrın harada göründüyünü və hansı ünvanı daşıdığını göstərir.

Son addım: işləyən qaydaları yenidən başlatmanın oxuduğu konfiqurasiyaya qoyun və bu hostun körpüsünün həqiqətən istifadə etdiyi cihaz adını qeyd edin. Əl ilə yazılan hər şey yenidən başlatmadan sonra yox olur və eyni nasazlıq izah edəcək heç nə qalmadan qayıdır.

Yenidən yazmadan sonra sayğac hələ də tərpənmirsə, qaydadakı mənbə diapazonunu müştərinin həqiqətən aldığı ünvanla müqayisə edin, çünki körpülü server nəzərdə tutmadığınız diapazondan ünvanlar verə bilər.