OpenVPN LAN girişi pozulub? Zonaları, marşrutları və qayıdış yolunu yoxlayın

Tunel uğurlu bağlantı bildirir, marşrutlaşdırıcının öz səhifəsi açılır, amma onun arxasındakı maşına disk bağlantısı yenə də vaxt aşımına uğrayır. Bu birləşmədə ziddiyyət yoxdur: marşrutlaşdırıcı özü kimi cavab verir, arxasındakı hər hansı şeyə çatmaq isə başqa yerdə verilən başqa qərardır. Aşağıdakı yoxlamaları ardıcıllıqla aparın və ilk uğursuzluqda dayanın, çünki hər biri özündən əvvəlkinə əsaslanır. Dördü də keçəndə nasazlıq tunelin içində deyil, üstündədir.

LAN-a gedən paketi hansı filtr görür

Marşrutlaşdırıcıya ünvanlanan paket lokal istehlak olunur; onun arxasındakı hosta ünvanlanan paket isə yönləndirilməlidir və firevollar bu iki halı ayrı qiymətləndirir. Deməli, marşrutlaşdırıcıya çatmaq icazəsi onu keçmək icazəsi haqqında heç nə demir. Qayda dəstlərini gizlədən mikrokod yenə də hər ikisini tətbiq edir, adətən LAN, internet və ya ikisini təklif edən seçici kimi. Seçici LAN-ı buraxırsa, sonrakı heç bir yoxlama əhəmiyyət daşımır.

OpenWrt bu bölgünü yoxlanıla bilən edir və fərqi bir dəfə oxumağa dəyər. Tuneli bitirən zona LAN zonasına yönələn yönləndirmə qaydası tələb edir, giriş qaydası isə yalnız marşrutlaşdırıcının özündə işləyən xidmətləri idarə edir. İşləyən idarəetmə səhifəsinin yanında ölü LAN məhz həmin çatışmayan yönləndirmə qaydasının adi nəticəsidir.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Tuneli daşıyan zonanın yönləndirmə hədəfinə baxın: accept nərdivanın ehtiyacı olan dəyərdir, reject isə aşağıdakı hər vaxt aşımını izah edir. İki qonşu parametr eyni simptomu yaradır, ona görə burada ikən onları da istisna edin. Simsiz izolyasiya simli hostları simsiz klientlərdən gizlədir, boş LAN hostlarını oflayn sayan marşrutlaşdırıcı isə yönləndirmə işlədikdən sonra belə cavabları ata bilər.

Niyə bölünmüş tunel prefiksin göndərilməsini tələb edir

Bütün trafiki tuneldən keçirən klient LAN prefiksini artıq standart marşrutu ilə saxlayır, ona görə əlavə ediləcək heç nə yoxdur. Bölünmüş tunel prefiksin açıq şəkildə göstərilməsini tələb edən haldır, çünki konfiqurasiyada başqa heç nə onu xatırlatmır. Direktivi server konfiqurasiyasına əlavə edin və xidməti yenidən yükləyin.

push "route 192.168.50.0 255.255.255.0"

Tərkibində route-nopull olan profillər göndərilən marşrutları nəzərə almır, ona görə eyni prefiks klient faylına aiddir. Hər halda qeydin gəldiyini təsdiqləyin, ehtimal etməyin, çünki səssiz üstələmə firevol probleminə tam bənzəyir.

ip route show | grep 192.168.50

Sayt-sayt həmkarı yönləndirmədən çoxunu tələb edir. Server həmin həmkarın arxasında hansı prefikslərin olduğunu öyrənməlidir, bunu onun client-config-dir faylındakı iroute sətri edir, öz cədvəlinə də tunelə uyğun marşrut lazımdır.

Cavab çata bildiyi bir ünvana ehtiyac duyur

Sorğunu yönləndirmək mübadilənin yalnız yarısıdır, çünki LAN hostu tunel hovuzundakı ünvana cavab verməlidir. Kiçik marşrutlaşdırıcılar bunu adətən tunel zonasında mənbəyi çevirməklə təşkil edir, beləliklə cavab marşrutlaşdırıcıya ünvanlanır və başqa yerdə konfiqurasiya tələb etmir. Bu çevirməni silsəniz, host hovuza öz marşrutunu tələb edir; marşrutlaşdırıcı onun standart şlüzü olduqda bunu pulsuz alır. Əl ilə verilmiş ünvanı və başqa şlüzü olan host isə həmin şlüzdən cavab verir və klient sessiyanın açılıb sonra dayandığını görür.

tcpdump -ni tun0 host 192.168.50.20

Klient sorğusunu təkrarlayarkən bunu marşrutlaşdırıcıda işə salın və sorğunun özünü deyil, cavabın təyinatını oxuyun. Hovuza ünvanlanmış cavab qayıdış yolunun işlədiyini və nasazlığın daha içəridə olduğunu bildirir. Heç cavab olmaması hostun paketi heç vaxt qəbul etmədiyini bildirir, bu da sizi qayda dəstinə qaytarır.

Doğru yerdə bitən nərdivan

Dörd yoxlama qatı müəyyən edir və hər biri hökm deyil, tək bir əmrdir. Onları ardıcıllıqla işə salın və ilk uğursuzluqda dayanın. Ardıcıllıq əmrlərdən daha vacibdir, çünki sonrakı addımın keçməsi əvvəlkinin niyə uğursuz olduğunu gizlədir.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Adlar nərdivanın sonuna aiddir, heç vaxt başlanğıcına yox. 192.168.50.20 kimi cavab verən, nas.local kimi verməyən paylaşma adlandırmaya və ya axtarış şəkilçisinə işarə edir və firevol düzəlişləri bunların heç birini dəyişmir.

İlk uğursuz addımı qeyd edin, sonra xidmət portlarına ayrıca keçid verin, çünki dinləyici və host icazəsi ayrı tələblərdir. Fayl paylaşımı, uzaq masaüstü və kamera yayımları hər ikisini tələb edir; LAN alt şəbəkəsinə güvənib tunel hovuzuna güvənməyən host firevolu isə ping işləyərkən klienti atır. Bütün yoxlamalar keçib tətbiq yenə uğursuz olursa, nasazlıq tunelin üstündədir: bir interfeysə bağlanmış xidmət və ya klientdə qurulmuş proksi.