OpenVPN twnnel llawn: ychwanegwch allanfa rhyngrwyd ar ochr y gweinydd

Mae cleient yn dilysu, yn cael cyfeiriad o'r pwll ac yn cyrraedd gwasanaethau ar y gwesteiwr VPN, ond mae pob cyrchfan gyhoeddus yn mynd i'r amser allan. Dyna sut mae twnnel heb allanfa yn edrych, ac mae'n aros felly nes bod pedwar peth ar wahân yn wir. Rhaid i'r cleient dderbyn llwybr diofyn, rhaid i'r gweinydd anfon ymlaen, rhaid i'r mur gwarchod ganiatáu'r tramwy, ac mae angen llwybr yn ôl i'r pwll ar yr atebion. Mae'r pedwar methiant yn rhannu un symptom, felly newidiwch un eitem y cynnig a nodwch y canlyniad.

Gwthiwch y llwybr diofyn a chadarnhewch beth osododd y cleient

Mae'r llinell ar ochr y gweinydd yn fyr, ac mae ond yn effeithio ar gleientiaid sy'n derbyn opsiynau wedi'u gwthio. Mae'r ffurf def1 yn gosod dau lwybr hanner-diofyn yn lle dileu'r diofyn presennol, sy'n cadw'r cysylltiad cyfredol yn fyw tra'n dal pob cyrchfan.

push "redirect-gateway def1"

Ar ôl ailgysylltu, darllenwch dabl llwybro'r cleient yn hytrach na choelio'r proffil. Ar Linux mae'r ddau gofnod /1 yn ymddangos wrth ymyl y diofyn gwreiddiol, ac mae Windows yn dangos yr un pâr fel 0.0.0.0/1 a 128.0.0.0/1. Mae cleient sy'n anwybyddu opsiynau wedi'u gwthio, neu un wedi'i ffurfweddu i'w gwrthod, yn cadw ei hen ddiofyn ac yn byth yn anfon traffig rhyngrwyd i'r twnnel. Setlwch y cwestiwn hwnnw cyn newid unrhyw beth ar y gweinydd, oherwydd ni all unrhyw reol ar ochr y gweinydd wneud iawn.

Mae anfon ymlaen yn osodiad gweinydd, nid yn osodiad VPN

Darllenwch y fflag anfon ymlaen cyn i chi gyffwrdd â llwybro. Mae sero yno yn golygu bod y cnewyllyn yn derbyn pecyn y cleient ac yn gwrthod ei basio ymlaen, sy'n edrych yn union fel bloc mur gwarchod o'r pen pellaf. Gosodwch y gwerth drwy gyfeiriadur ffurfweddu'r system fel ei fod yn goroesi ailgychwyn.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

Nesaf, cadarnhewch fod gan y gwesteiwr ei hun lwybr gweithredol i allanfa'r rhyngrwyd. Mae cais o gragen y gweinydd yn profi bod y llwybr i fyny yn ddefnyddiadwy ac yn dweud dim o gwbl am anfon pecyn cleient ymlaen, felly triniwch y rheini fel dau brawf ar wahân. Os na all y gweinydd gyrraedd y gyrchfan, ni fydd unrhyw faint o ffurfweddiad anfon ymlaen yn helpu.

Caniatéwch y tramwy rydych chi'n ei fwriadu, a dim byd arall

Mae pecynnau wedi'u hanfon ymlaen yn croesi'r llwybr forward; mae traffig a gyfeirir at y gwesteiwr VPN ei hun yn croesi input. Mae'r rhain yn benderfyniadau gwahanol, ac nid yw agor y llwybr input yn caniatáu tramwy drwy'r peiriant. Cymysgu'r ddau yw'r rheswm mwyaf cyffredin pam mae mur gwarchod yn ymddangos fel petai'n caniatáu popeth tra bod cleientiaid yn dal i fynd i'r amser allan.

Mae polisi lleiaf yn derbyn cysylltiadau newydd o'r pwll tuag at y rhyngwyneb allanfa ac yn derbyn atebion sy'n perthyn i lifau sefydledig. Rhowch ef yn y perchennog set rheolau y mae eich dosbarthiad yn ei ddefnyddio, yn hytrach nac ychwanegu rheol ddyblyg ar bob cychwyn; mae rheolau dyblyg yn cronni ac mae'r cyfrifwyr yn peidio â golygu unrhyw beth.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Mae newid pob cadwyn i dderbyn yn gwneud i'r prawf basio ac yn dileu'r rheswm dros fodolaeth y mur gwarchod. Cadwch y cwmpas at y pwll a'r rhyngwyneb allanfa, a gadewch lonydd i anfon ymlaen heb gysylltiad.

Rhowch le i'r atebion fynd

Mae cyfeiriadau'r pwll yn breifat, felly ni all gweinydd cyhoeddus ddosbarthu ateb iddynt yn uniongyrchol. Naill ai mae'r gwesteiwr VPN yn cyfieithu'r cyfeiriad ffynhonnell ar y ffordd allan, neu mae dyfais i fyny'r afon yn dal llwybr yn ôl i'r pwll.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

Ychwanegwch yn union un haen gyfieithu. Mae ail NAT ymhellach i fyny'r afon yn cuddio'r gyntaf ac yn gwneud y ddau log bron yn ddiwerth pan fydd rhywbeth yn torri'n ddiweddarach. Os yw llwybrydd i fyny'r afon eisoes yn llwybro'r pwll yn ôl, mae ychwanegu cyfieithu ar y gwesteiwr yn ddiangen, ac mae'r llwybr dychwelyd wedyn yn dibynnu ar ffurfweddiad y llwybrydd hwnnw yn hytrach nag ar eich un chi.

Mae achosion cwmwl yn ychwanegu un giât arall, oherwydd mae rhai platfformau'n gollwng pecynnau nad yw eu cyfeiriad ffynhonnell yn un yr achos oni bai bod y gwiriad hwnnw'n cael ei lacio. Mae'r osodiad hwnnw y tu allan i'r gwestai ac yn hawdd i'w anghofio pan fydd peiriant prawf lleol yn gweithio.

Profwch ef o'r cleient, nid o gragen y gweinydd

Dechreuwch â chais IPv4 rhifol, yna chwiliad enw, yna'r cymhwysiad. Mae ping yn profi anfon ymlaen a chyfieithu;nid yw'n profi dim am ddatrysiad, oherwydd dim ond pan fydd integreiddiad y cleient yn eu gosod y mae opsiynau DNS yn dod i rym.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

Nodwch y newidiadau a'r cam dadwneud wrth fynd, fel y gellir troi'r polisi allanfa yn ôl mewn un weithred pan fydd prawf yn methu. Mae'r rysáit hon yn cwmpasu IPv4 yn unig; rhestriwch IPv6 ar wahân cyn honni bod y defnydd yn cario'r holl draffig.