Tunnel açıqdır, internet yoxdur: yönləndirmə harada dayanır

Müştəri qoşulur, tunnel şlüzə ping daşıyır və ondan sonra heç nə cavab vermir. Bu vəziyyət həmişə yalnız qorunan şəbəkələrə çıxış üçün nəzərdə tutulmuş şlüz üçün normaldır və tam tunnel çıxışı kimi reklam edilən şlüz üçün nasazlıqdır. Qaydaları dəyişməzdən əvvəl hansı xidmətin vəd edildiyini təsdiqləyin. Sonra bir ictimai sorğunu dayana biləcəyi dörd yerdən izləyin. Bir sorğu və bir paket qeydi bir səhifə təxmindən çoxunu həll edir.

İnternet çıxışının ümumiyyətlə dizayn olub-olmadığını təsdiqləyin

Bölünmüş tunnel profili VPN-ə yalnız qorunan alt şəbəkələri yönləndirir, ona görə ictimai gəzinti yerli bağlantı ilə davam edir və şlüzə heç toxunmur. Tam tunnel profili tunnelə standart marşrut quraşdırır və bu, şlüzü bütün yol üçün məsul edir. Hər ikisi qanuni dizayndır və onları qarışdırmaq olmadığı yerdə nasazlıq hesabatı yaradır. Başqa bir şeyi sınaqdan keçirməzdən əvvəl müştərinin elan etdiyi marşrutları oxuyun, çünki marşrut cədvəli biletdə adətən səhv qoyulan suala cavab verir.

Müştərinin quraşdırdığı həmişə profilin nəzərdə tutduğu şey deyil. İtilən marşrut daha aşağı metrikalı yerli marşrutla üstələnə bilər və standart marşrut əlavə edərkən LAN marşrutunu saxlayan müştəri həmin alt şəbəkə üçün bölünmüş tunnel kimi davranır.

Bir ictimai sorğunu izləyin

Bir hədəf seçin və onu müştəridən xaricə doğru izləyin. Müştəridə paketin həqiqətən tuneli seçib-seçmədiyini və mənbə kimi hansı yerli ünvandan istifadə etdiyini yoxlayın. Sonra şlüzü yoxlayın: paket gəlirmi və ictimai interfeysdən çıxırmı. Bu cavabların hər biri bütöv bir səbəb kateqoriyasını aradan qaldırır.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Şlüz paketi heç görmürsə, müştəri marşrutu və ya tunnel seçimi səhvdir. Paket gəlib çıxmırsa, problem şlüzdədir və qalan üç yoxlama qüvvədədir.

Yönləndirməni, marşrutu və tərcüməni yoxlayın

strongSwan ilə gələn yönləndirmə təlimatı hər tunnel növünün şlüzü üçün keçərlidir: nüvəyə paketləri interfeyslər arasında daşımağa icazə verilməlidir və yararlı marşrut internetə doğru göstərməlidir. Sonra firewall siyasəti trafikə icazə verməli və mənbə ünvanı ictimai tərəfin cavab verə biləcəyi ünvan olmalıdır. İnternetə dəyişdirilmədən yönləndirilən şəxsi müştəri ünvanı heç vaxt cavab almır.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Mənbə tərcüməsi adətən çatışmayan hissədir. Onunla şlüz müştəri mənbəyini öz ictimai ünvanına yazır və axını izləyir; onsuz cavabın gedəcəyi yer yoxdur. Bulud platformaları ikinci sərhəd əlavə edir; burada instansın marşrut cədvəli və ya təhlükəsizlik qrupu qonaq firewallunun icazə verdiyi trafiki ata bilər. Bu sərhədi qaçırmaq asandır, çünki qonaq sistem içəridən düzgün konfiqurasiya edilmiş görünür.

Asimmetrik qurmada tərs yol filtrləməsi də etibarlı paketləri ata bilər. O qaydanın sayğacını oxuyun, yaxşı olduğunu güman etməyin, çünki ictimai interfeysdə sərt parametr marşrut cədvəlinin proqnozlaşdırdığından fərqli yolla gələn trafiki rədd edir.

Cavab yolu və həlledici iki fərqli cavabdır

Yalnız sorğunu deyil, cavabı da izləyin. Sorğu tərcümə olunmuş çıxırsa və cavab tərcümə olunmuş axına qayıdırsa, tətbiq hələ də uğursuz olsa belə yönləndirmə işləyir və növbəti araşdırma tətbiqə və ya DNS-ə aiddir.

HTTP xətası qaytaran sayt internetə yönləndirmənin işlədiyinin sübutudur. Ünvanla giriş işləyərkən həll olunmayan ad həlledici problemidir, NAT problemi deyil.

Dəqiq düzəlişdən sonra müştərini və qəsdən məhdudlaşdırılmış hər hansı şəxsi resursu yenidən yoxlayın. İnternet girişi vermək şlüzə qoşulmuş hər şəbəkəyə girişi səssizcə genişləndirməməlidir.