Mae cleientiaid LAN yn anwybyddu VPN y llwybrydd nes bod llwybro polisi yn cael ei alluogi

Mae'r llwybrydd yn cyrraedd y rhyngrwyd drwy ei dwnnel tra bo gliniadur y tu ôl iddo yn dal i adrodd cyfeiriad yr ISP. Nid yw ychwanegu rheolau derbyn yn helpu, ac mae'r methiant hwnnw'n ddadlennol: mae hidlo yn ateb a all pecyn basio, nid i ble mae'n mynd. Mae'r dewis rhyngwyneb eisoes wedi'i wneud gan chwiliad llwybro nad yw'n gwybod dim am eich rhestr cleientiaid. Trwsiwch y chwiliad ac nid yw'r mur ffin yn ddrwgdybus mwyach.

Ni all rheol hidlo ddewis rhyngwyneb

Mae llif pecynnau ar lwybrydd Linux yn rhedeg y penderfyniad llwybro yn gyntaf a'r bachyn anfon ymlaen wedyn. Erbyn i reol gyd-fynd â'r ddyfais dwnnel allan, mae'r cnewyllyn eisoes wedi penderfynu mai'r twnnel yw'r ffordd allan. Os yw'r prif dabl yn dal i ffafrio'r llwybr diofyn drwy'r WAN, mae'r pecyn ar ei ffordd i'r ISP ac ni fydd y rheol dderbyn a ysgrifennwyd gennych byth yn ei weld. Mae'r un ffaith hon am y drefn yn esbonio pam nad yw tudalen o reolau mur ffin newydd yn newid dim.

Mae'r enghraifft isod yn defnyddio LAN o 192.168.8.0/24 ar br-lan, dyfais dwnnel tun0, ac un blwch set-top yn 192.168.8.23 a ddylai fynd drwy'r twnnel.

Darllenwch y chwiliad cyn golygu rheolau

Gofynnwch i'r cnewyllyn ddatrys llwybr ar ran y cleient hwnnw. Mae'r ateb yn cynnwys y ddyfais allan a'r cyfeiriad ffynhonnell a fyddai'n cael ei ddewis, sef popeth sydd ei angen i gadarnhau'r diagnosis. Os yw'r ateb yn enwi dyfais y WAN, ni chafodd y pecyn unrhyw gyfle i gyrraedd eich rheol.

ip -4 route get 198.51.100.7 from 192.168.8.23

Ailadroddwch y cwestiwn ar gyfer cleient a ddylai aros ar y llwybr arferol. Pan fydd y ddau ateb yn enwi'r un ddyfais, nid oes polisi fesul ffynhonnell ar waith eto, ac mae'r cywiriad yn perthyn i lwybro yn hytrach na hidlo.

Cysylltwch dabl â'r cleientiaid rydych am eu gorchuddio

Mae llwybro polisi yn gosod chwiliad rheol o flaen y prif dabl. Adeiladwch dabl y mae ei lwybr diofyn yn y twnnel, yna cysylltwch y tabl hwnnw â detholwr: rhyngwyneb mewnbwn, cyfeiriad ffynhonnell, neu farc mur ffin. Mae blaenoriaethau yn penderfynu trefn, ac mae'r prif dabl yn eistedd ymhell i lawr y rhestr yn 32766, felly ymgynghorir â rheol â rhif isel yn gyntaf. Mae detholwyr rhyngwyneb yn gorchuddio pob cleient ar y bont; mae detholwyr cyfeiriad yn gorchuddio un peiriant.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Mae rhyngwynebau cadarnwedd fel arfer yn datgelu'r un gwrthrychau â thudalen llwybro polisi neu bolisi VPN. Mae rhestr ddyfeisiau yno yn haws ei chynnal na rheolau wedi'u hysgrifennu â llaw ac mae'n tueddu i oroesi uwchraddiadau sy'n newid cystrawen rheolau.

Dewiswch y detholwr yn fwriadol. Mae rheol rhyngwyneb yn fyr ac yn addas i'r dyfodol ond mae hefyd yn dal traffig rheoli'r llwybrydd ei hun sy'n cyrraedd y bont honno. Mae rheol ffynhonnell yn fanwl ac mae angen golygiad pryd bynnag y bydd'r rhestr ddyfeisiau'n newid. Ysgrifennwch y dewis, oherwydd bydd y person nesaf sy'n gofyn pam mae un ddyfais yn ymddwyn yn wahanol ei angen.

Cadwch gyrchfannau lleol allan o'r twnnel

Nid yw tabl newydd yn gwybod dim ond y llwybrau a roddwch ynddo. Mae'r rhagddodiad LAN ar goll, felly byddai traffig argraffydd a NAS yn dilyn llwybr diofyn y twnnel ac yn diflannu. Mae llwybr throw yn gorffen y chwiliad yn y tabl hwn ac yn rhoi'r penderfyniad yn ôl i'r prif dabl.

ip -4 route add throw 192.168.8.0/24 table 200

Os hebdwch y llwybr hwnnw mae rhannu lleol yn torri, ac mae sesiwn reoli'r llwybrydd ei hun yn gallu diflannu os yw'r detholwr yn ehangach na'r bwriad. Yna setlwch gwestiwn y ffynhonnell: mae angen i becynnau'r twnnel sy'n dal i gario cyfeiriadau LAN i'r ochr bell wybod llwybr dychwelyd, tra bod masquerading ar y twnnel yn dileu'r gofyniad hwnnw ac yn dileu hefyd hunaniaeth y cleient a fyddai'r ochr bell yn ei gweld.

Mae rheolau a llwybrau a ychwanegir wrth redeg yn diflannu ar ôl ailgychwyn neu ddiweddariad cadarnwedd. Ychwanegwch nhw at fecanwaith cychwyn y llwybrydd, ailgychwynwch unwaith, ac ailbrofwch o'r cleient: ei gyfeiriad cyhoeddus, ail gleient a ddylai aros ar y WAN, a chownteri'r twnnel yn ystod cysylltiad newydd.