Una passarel·la VPN necessita reenviament IP: què cal comprovar

El vostre client pot fer ping a l'adreça de la passarel·la mentre tots els recursos que hi ha darrere continuen sense ser accessibles. Aquest parell d'observacions descriu un amfitrió que us parla i un encaminador que no encamina, que són papers diferents a la mateixa màquina. El reenviament és l'interruptor entre tots dos.

Els dos papers són independents, i també les dues famílies d'adreces.

Respondre a la pròpia adreça no demostra res

Quan un paquet s'adreça a la mateixa passarel·la, la pila local el consumeix i no es pren cap decisió de reenviament. Per això un ping correcte a l'adreça del túnel o a una interfície de gestió us diu que el dimoni és viu i el túnel està aixecat, però no diu res sobre el trànsit destinat a una xarxa darrere la caixa. El nucli només consulta la seva ruta de reenviament per als paquets que no s'adrecen a ell.

Llegiu el requisit com un paper, no com un paràmetre: aquest amfitrió ha de moure paquets entre dues interfícies. Un portàtil que només ha d'arribar a una xarxa remota mai no assumeix aquest paper, i un extrem lloc a lloc sempre ho fa. Llegir el requisit així explica per què una configuració de client que funciona falla quan es trasllada a una passarel·la.

La mateixa frase s'aplica al tallafoc davant de la decisió de reenviament, que té la seva pròpia política sobre què es pot reenviar.

Comproveu cada família d'adreces per separat

El reenviament IPv4 és un interruptor, i el reenviament IPv6 és un altre amb el seu propi comportament per interfície. Activar el primer no diu res del segon, i un client de doble pila pot arribar a mitja xarxa mentre la resta queda fosca. Dos clients de famílies diferents poden, doncs, discrepar sobre la mateixa passarel·la. Pregunteu quina família ha fet servir el client que falla abans d'editar qualsevol dels dos paràmetres. Confirmeu tots dos abans de concloure que el disseny d'encaminament és incorrecte.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

En moltes distribucions, el valor que llegiu en temps d'execució l'hi ha posat un servei o un fitxer de configuració, de manera que un canvi fet amb una ordre puntual pot desaparèixer en reiniciar. Trobeu el fitxer que és propietari del paràmetre abans d'editar el valor en temps d'execució.

El reenviament és un dels quatre requisits

Un flux reenviat que funciona necessita quatre coses alhora: el client ha de saber que la destinació és darrere el túnel, la passarel·la ha de tenir una ruta endavant, les respostes han de tenir un camí de tornada i el tallafoc ha de permetre el trànsit. La traducció d'origen forma part d'aquest disseny com a opció i no com a regla, perquè una xarxa encaminada privada amb camins simètrics no la necessita i una d'asimètrica normalment sí. Cada una de les quatre falla de manera independent, i per això reparar-ne una poques vegades mou el símptoma. Escriviu les quatre abans de canviar-ne cap.

Les plataformes de núvol afegeixen una cinquena consideració. Algunes apliquen comprovacions d'origen i destinació a les instàncies, cosa que descarta els paquets reenviats independentment del que el nucli de l'hoste estigui configurat per fer. La documentació de xarxa de la mateixa plataforma és l'autoritat aquí, no la sortida de sysctl dins la VM.

Proveu-ho des del client, no des de la passarel·la

Una prova executada a l'intèrpret d'ordres de la mateixa passarel·la no travessa cap tram del camí de reenviament que acabeu d'habilitar. Genereu el trànsit des del client que té el problema i confirmeu que arriba a alguna cosa darrere la passarel·la i no a la passarel·la mateixa. Aquesta és l'única prova que exerceix el paper que heu canviat.

Manteniu separades les regles d'escolta i les regles de reenviament al cap i al registre de canvis. Obrir el port VPN admet clients al servei; no els concedeix res a la xarxa de darrere, i tots dos semblen idèntics en una llista de tallafoc que ha crescut durant anys.

Si els paquets arriben i el servei després rebutja l'usuari, ja heu passat de la xarxa. Continueu amb l'autorització d'aplicació en lloc d'ampliar de nou la política de reenviament.