LAN klientləri siyasət marşrutlaşdırması qoşulana qədər router VPN-ni görmür

Router tuneli ilə internetə çıxır, arxasındaki noutbuk isə hələ də provayder ünvanını bildirir. Qəbul qaydaları əlavə etmək kömək etmir və bu uğursuzluq çox şey deyir: filtrləmə paketin keçməsinə icazə verilib-verilmədiyini cavablandırır, hara getdiyini yox. İnterfeys seçimi artıq klient siyahınız haqqında heç nə bilməyən marşrut axtarışı ilə edilib. Axtarışı düzəldin və firewall artıq şübhəli olmaqdan çıxır.

Filtr qaydası interfeys seçə bilmir

Linux routerdə paket axını əvvəlcə marşrut qərarını, sonra forward hook-unu işlədir. Qayda gidən tunel cihazına uyğun gələnə qədər kernel artıq tunelin çıxış yolu olduğuna qərar verib. Əgər əsas cədvəl hələ də WAN standart marşrutuna üstünlük verirsə, paket provayderə doğru yoldadır və indicə yazdığınız qəbul qaydası onu heç vaxt görmür. Bu tək sıralama faktı səhifə dolusu yeni firewall qaydasının niyə heç nəyi dəyişmədiyini izah edir.

Aşağıdaki nümunə br-lan üzərində 192.168.8.0/24 LAN-ını, tun0 tunel cihazını və tuneldən istifadə etməli olan 192.168.8.23 ünvanında bir set-top box istifadə edir.

Qaydaları redaktə etməzdən əvvəl axtarışı oxuyun

Kerneldən həmin klient adına marşrutu həll etməsini xahiş edin. Cavab gidən cihazı və seçiləcək mənbə ünvanını əhatə edir; bu diaqnozu təsdiqləmək üçün lazım olan hər şeydir. Əgər cavab WAN cihazını adlandırırsa, paketin qaydanıza çatmaq şansı heç olmayıb.

ip -4 route get 198.51.100.7 from 192.168.8.23

Adi yolda qalmalı olan klient üçün sorğunu təkrarlayın. Hər iki cavab eyni cihazı göstərdikdə, hələ mənbə üzrə siyasət işə düşməyib və düzəliş filtrləməyə deyil, marşrutlaşdırmaya aiddir.

Əhatə etmək istədiyiniz klientlərə cədvəl bağlayın

Siyasət marşrutlaşdırması əsas cədvəldən əvvəl qayda axtarışı yerləşdirir. Standart marşrutu tunel olan bir cədvəl qurun, sonra həmin cədvəli selektora bağlayın: giriş interfeysi, mənbə ünvanı və ya firewall işarəsi. Prioritetlər sıranı müəyyən edir və əsas cədvəl siyahının çox aşağısında, 32766-da yerləşir, ona görə də aşağı nömrəli qaydaya ilk baxılır. İnterfeys selektorları körpüdəki hər klienti əhatə edir; ünvan selektorları bir maşını əhatə edir.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Proqram təminatı interfeysləri adətən siyasət marşrutlaşdırması və ya VPN siyasəti səhifəsi ilə eyni obyektləri göstərir. Oradaki cihaz siyahısı əllə yazılmış qaydalardan daha asan saxlanılır və qayda sintaksisini dəyişən yeniləmələrdən sonra da qalmağa meyllidir.

Selektoru qəsdən seçin. İnterfeys qaydası qısadır və gələcəyə davamlıdır, lakin həm də routerin öz idarəetmə trafikini o körpüdə tutur. Mənbə qaydası dəqiqdir və cihaz siyahısı hər dəyişdikdə redaktə tələb edir. Seçimi yazın, çünki bir cihazın niyə fərqli davrandığını soruşacaq növbəti şəxsə bu lazım olacaq.

Yerli təyinatları tuneldən kənarda saxlayın

Yeni cədvəl yalnız ona qoyduğunuz marşrutları bilir. LAN prefiksi yoxdur, ona görə printer və NAS trafiki tunelin standart marşrutunu izləyib yox olardı. Throw marşrutu bu cədvəldə axtarışı bitirir və qərarı əsas cədvələ qaytarır.

ip -4 route add throw 192.168.8.0/24 table 200

Bu marşrutu atlayın və yerli paylaşımlar pozulur, selektor nəzərdə tutulduğundan geniş olarsa routerin öz idarəetmə sessiyası da yox ola bilər. Sonra mənbə məsələsini həll edin: hələ də LAN ünvanları daşıyan tunel paketləri üçün qarşı tərəf geri yol bilməlidir, tuneldə masquerading isə bu tələbi aradan qaldırır və qarşı tərəfin görəcəyi klient kimliyini də silir.

İşləmə vaxtı əlavə edilən qaydalar və marşrutlar yenidən başlatma və ya proqram təminatı yeniləməsindən sonra yox olur. Onları routerin başlatma mexanizminə əlavə edin, bir dəfə yenidən başladın və klientdən yenidən yoxlayın: onun ictimai ünvanı, WAN-da qalmalı olan ikinci klient və yeni bağlantı zamanı tunel sayğacları.