Cleientiaid OpenVPN pontiedig heb ryngrwyd? Gwiriwch y rheol NAT

Mae’r gweinydd pontiedig yn rhedeg, mae’r rheol masquerade yn bresennol, ac mae’r porwr ar y cleient yn dal i droi. Mae popeth yn edrych fel y dylai weithio, a dyna pam mae’r awr gyntaf yn mynd i wirio’r twnnel a’r manylion mewngofnodi. Yna rydych chi’n darllen y rhifydd ar y rheol NAT ac yn gweld sero nad yw wedi symud. Nid yw rheol na chyfrifodd becyn erioed wedi cyfateb i unrhyw becyn, ac ar weinydd pontiedig mae’r rheswm yn strwythurol: mae traffig y cleient yn gadael trwy’r ddyfais tap rhithwir, tra mae’r rheol yn enwi’r cerdyn ffisegol a gopïoch chi o ganllaw hŷn.

Y rhifydd yw’r dystiolaeth, nid y llinell yn y tabl

Mae rheolau sy’n bodoli a rheolau sy’n cyfateb yn bethau gwahanol, a’r rhifydd sy’n eu gwahanu. Rhestrwch y tabl NAT gyda rhifyddion manwl a darllenwch y niferoedd wrth bob rheol cyn newid unrhyw beth. Mae rhifydd sy’n sefyll ar sero tra mae traffig yn llifo yn golygu bod y rheol wedi’i hepgor, waeth pa mor synhwyrol y mae ei chyfeiriadau’n edrych. Mae rhifydd sy’n codi tra mae’r cysylltiad yn dal i fethu yn eich anfon i rywle arall: anfon ymlaen, y llwybr dychwelyd, neu’r pen pellaf.

iptables -t nat -L POSTROUTING -v -n

Darllenwch y rhifydd wrth y gyfatebiaeth rhyngwyneb yn gyntaf. Os yw’r ystod ffynhonnell yn gywir a’r ochr allbwn yn anghywir, un gair yn y rheol yw’r atgyweiriad, nid rheol hollol newydd.

Darganfyddwch yr enw mae’r cnewyllyn yn ei gofnodi mewn gwirionedd

Adnabyddwch ddyfais y twnnel wrth ei henw cyn ysgrifennu’r rheol, gan ddefnyddio’r rhestr rhyngwynebau yn hytrach na’r cof. Mewn gosodiad OpenVPN pontiedig y ddyfais yw rhyngwyneb tap a grëwyd gan y gweinydd fel arfer, ac mae ei henw’n rhan o’ch cyfluniad lleol, nid yn gysonyn cyffredinol. Cadarnhewch ei fod yn bodoli tra mae’r twnnel i fyny, oherwydd bydd dyfais sy’n ymddangos dim ond ar ôl i gleient gysylltu yn gwneud i brawf cynharach edrych fel problem rheol.

ip -brief link

Ysgrifennwch yr enw i lawr. Mae pob gorchymyn diweddarach yn y diagnosis hwn yn cyfeirio ato, ac mae camgymeriad teip yma yn cynhyrchu’r un rhifydd sero yn union â’r camgymeriad gwreiddiol.

Ailysgrifennwch y rheol yn erbyn dyfais y twnnel

Cyfeiriwch y rheol at ddyfais y twnnel a chadwch ystod y cleientiaid yn amod cyfateb, fel ei bod yn gorchuddio traffig y twnnel ac yn gadael cysylltiadau’r gwesteiwr ei hun yn llonydd. Amnewidiwch eich ystod a’ch enw dyfais eich hun, oherwydd mae’r ddau enghraifft isod yn enghreifftiau ac nid oes yr un ohonynt yn gludadwy rhwng gosodiadau.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Yna gwiriwch y ddau amod arall mae’r un symptom yn eu cuddio. Gwiriwch a yw anfon ymlaen wedi’i alluogi, ac os nad yw, ei alluogi yng nghyfluniad y dosbarthiad ei hun yn hytrach nag ag echo sy’n diflannu ar ailgychwyn. Darllenwch rifymddion y gadwyn forward hefyd, ac os yw’n gollwng traffig y twnnel, caniatáu’r rhyngwyneb hwnnw’n benodol a gadael polisi’r gadwyn heb ei gyffwrdd.

Mae darllen y gadwyn forward gyda rhifyddion yn cymryd un gorchymyn ac yn diystyru hanner y posibiliadau sy’n weddill cyn i chi gyffwrdd â rheol arall.

Pam nad yw’r cerdyn ffisegol byth yn cyfateb

Mae pont yn swits meddalwedd wedi’i chydosod o’r ddyfais tap ac un rhyngwyneb ffisegol. Mae ffrâm y cleient yn mynd i mewn i’r swits hwnnw ac yn gadael tuag at y rhwydwaith ffisegol fel aelod o’r bont yn hytrach nag fel pecyn ar y cerdyn. Felly mae’r cnewyllyn yn priodoli’r pecyn i’r bont a’i phorth, a dyna pam nad yw’r cerdyn yr oeddech chi’n meddwl amdano byth yn ymddangos yn y gyfatebiaeth. Nid oes dim wedi torri yn y rhyngwyneb ffisegol; nid ef yw’r ddyfais y mae’r cnewyllyn yn priodoli’r pecyn hwnnw iddi.

Daw’r broblem nesaf y mae pobl yn ei chyfarfod o’r un strwythur: mae hidlo ffrâm ar bont yn gyfleuster ar wahân i hidlo IP. Os mai’r gofyniad yw cyfyngiad ar lefel ffrâm, mae’n perthyn i hidlo’r bont, nid i reol tabl IP.

Profwch hyn o’r dechrau i’r diwedd, yna gwnewch yn barhaol

Codwch un cleient a pingiwch rywbeth ar LAN y gweinydd; mae’r llwybr hwnnw’n ymarfer anfon ymlaen heb unrhyw gyfieithu. Wedyn gofynnwch am rywbeth cyhoeddus fel bod yn rhaid defnyddio’r rheol masquerade, a darllen y rhifydd unwaith eto: dylai symud ar gyfer y prawf hwn ac nid ar gyfer yr un blaenorol. Mae cipiad a gymerwyd ar ddyfais y twnnel yn dangos lle mae’r ffrâm yn ymddangos a pha gyfeiriad y mae’n ei gario.

Y cam olaf: rhowch y rheolau sy’n gweithio yn y cyfluniad y mae ailgychwyn yn ei ddarllen, a nodwch enw’r ddyfais y mae pont y gwesteiwr hwn yn ei defnyddio mewn gwirionedd. Mae unrhyw beth a deipiwyd â llaw yn diflannu ar ôl ailgychwyn, ac mae’r un methiant yn dod yn ôl heb ddim i’w esbonio.

Os nad yw’r rhifydd yn symud o hyd ar ôl yr ailysgrifennu, cymharwch yr ystod ffynhonnell yn y rheol â’r cyfeiriad a gafodd y cleient mewn gwirionedd, oherwydd gall gweinydd pontiedig roi cyfeiriadau o ystod nad oeddech chi’n bwriadu.