Nid yw agor y porth VPN yn gadael i gleientiaid gyrraedd y LAN

Mae’r tiwnel yn codi, mae’r cleient yn dilysu, ond mae’r LAN y tu ôl i’r porth yn aros yn anweladwy. Mae’r rheol a oedd i fod i drwsio hyn yn caniatáu’r porth VPN, ac mae’n gweithio’n union fel y’i’hysgrifennwyd, oherwydd bod y rheol honno’n rheoli pecynnau a gyfeirir at y porth ei hun. Mae gan draffig cleient at westeiwr y tu ôl i’r porth gyrchfan wahanol a chadwyn wahanol. Nid yw mewngofnodi llwyddiannus yn newid pa un o’r ddwy gadwyn y mae’r cnewyllyn yn ei holi.

Dwy gadwyn, dwy gyrchfan wahanol

Penderfynir tynged pecyn gan ble y mae’n mynd, nid gan sut y cyrhaeddodd. Mae traffig a gyfeirir at gyfeiriad ar y porth yn cael ei ddanfon yn lleol ac yn cael ei werthuso yn erbyn rheolau mewnbwn. Mae traffig y mae’r porth yn ei anfon ymlaen yn cael ei werthuso yn erbyn rheolau anfon ymlaen. Gall yr un rhyngwyneb tiwnel gynhyrchu’r ddau fath o becyn, felly ni all un rheol gwmpasu’r ddau waith.

Y chwedl gyfan mewn un frawddeg: nid yw caniatáu’r gwrandawr yn dweud dim am ganiatáu’r rhwydwaith y tu ôl iddo. Dau benderfyniad ar wahân ydynt gyda thystiolaeth ar wahân, ac nid yw enw rhyngwyneb ar y ddau yn eu huno.

Beth mae rheol y gwrandawr yn ei ganiatáu mewn gwirionedd

Mae pecynnau’r gwrandawr yn gorffen ym mhroses VPN, a dyna sy’n caniatáu sefydlu’r tiwnel o gwbl. Mae tudalen weinyddu’r porth ac ateb diagnostig lleol hefyd yn defnyddio llwybr mewnbwn y westeiwr ei hun, felly mae prawf i’r porth yn llwyddo tra bod popeth y tu ôl iddo’n methu. Mae’r ddau ganlyniad yn gywir ac nid yw’r un ohonynt yn ymwneud â’r LAN.

Pan fydd y broses yn dadgapsiwleiddio traffig y cleient ar gyfer cyrchfan arall, mae’r pecyn yn mynd i lwybr anfon ymlaen ac mae angen caniatâd yno. Mae dilysu llwyddiannus yn penderfynu pwy yw’r cleient; nid yw’n penderfynu ble y caiff fynd. Mae gan y ddau gwestiwn berchnogion gwahanol, cofnodion gwahanol a negeseuon gwall gwahanol.

Profwch o gleient, byth o’r porth

Mae prawf a gynhyrchir ar y porth yn dilyn llwybr allbwn y westeiwr ei hun a gall lwyddo tra bod y llwybr a anfonir ymlaen ar gau. Dechreuwch y prawf o’r cleient a gwylio dau ben y llif.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Os yw’r cais yn ymddangos ar tun0 ac nad oes dim yn cyrraedd y gyrchfan, mae’r pecyn yn cael ei ollwng ar ôl cyrraedd, sy’n awgrymu rheolau anfon ymlaen neu hidlydd y gyrchfan ei hun. Os nad oes dim yn ymddangos ar tun0 o gwbl, nid yw’r cleient hyd yn oed yn ei anfon i’r tiwnel, a’r broblem yw llwybro ar y cleient yn hytrach na pholisi ar y porth. Cymharwch hynny â chais sy’n gadael yn gywir ac yn dychwelyd dim, sef achos y llwybr dychwelyd.

Mae anfon ymlaen angen tri pheth, nid un

Rhaid galluogi anfon ymlaen yn y cnewyllyn, rhaid i reol hidlo dderbyn y llif, a rhaid i’r gyrchfan fod yn gyrraeddadwy gyda llwybr i’r ateb ddychwelyd. Os oes un o’r tri ar goll, yr un yw’r distawrwydd o safbwynt y cleient.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Darllenwch y tri allbwn gyda’i gilydd. Mae sero yn y cyntaf yn gwneud y ddau arall yn amherthnasol, ac mae polisi gollwng diofyn yn yr ail yn gollwng pecynnau’r cleient tra bod traffig y porth ei hun yn parhau i weithio. Mae’r trydydd allbwn yn dangos pam nad oedd rheol y gwrandawr byth yn broblem.

Cadwch y ddau set rheol ar wahân yn y ddogfennaeth

Ysgrifennwch reol y gwrandawr a rheol y gwasanaeth a anfonir ymlaen ar linellau ar wahân, gyda pherchnogion a chyfiawnhad ar wahân. Pan fydd porth VPN yn newid neu wasanaeth newydd yn cael ei gyhoeddi, mae’r gwahanu hwnnw’n atal un newid rhag lledaenu’r llall yn dawel.

Yn lle trin pob cymar dilys fel aelod ymddiried o’r LAN, defnyddiwch reolau cul ar gyfer yr ystodau cleient a’r gwasanaethau sydd eu hangen. Mae nodiadau anfon ymlaen StrongSwan yn disgrifio ochr llwybr dychwelyd a chyfieithu’r un ffin, sy’n drydedd benderfyniad eto.

Yn olaf, cadwch y haenau’n syth pan wrthodir defnyddiwr. Os yw’r cais yn cyrraedd y westeiwr ac mae’r rhaglen yn gwrthod y cyfrif, trwsiwch ganiatâd y rhaglen ar y haen honno; ni all lledaenu anfon ymlaen ddarparu manylion mewngofnodi ar gyfer rhannu ffeiliau, a bydd yn lledaenu mynediad i bawb arall sy’n cysylltu’n llwyddiannus.