Mynediad LAN OpenVPN wedi torri? Gwirio parthau, llwybrau a'r llwybr dychwelyd

Mae'r twnnel yn adrodd cysylltiad llwyddiannus, mae tudalen y llwybrydd ei hun yn llwytho, ac mae mapio gyriant i beiriant y tu ôl iddo yn dal i ddod i ben. Nid oes unrhyw beth yn y cyfuniad hwnnw'n groesgyferbyniol: mae'r llwybrydd yn ateb fel ef ei hun, ac mae cyrraedd unrhyw beth y tu ôl iddo yn benderfyniad gwahanol a wneir mewn man gwahanol. Gweithiwch drwy'r gwiriadau isod yn eu trefn a stopiwch ar y methiant cyntaf, oherwydd mae pob un yn sefyll ar yr un o'i flaen. Pan fydd y pedwar i gyd yn pasio, mae'r bai uwchben y twnnel yn hytrach nag ynddo.

Pa hidlydd sy'n gweld pecyn yn mynd i'r LAN

Mae pecyn a gyfeiriwyd at y llwybrydd yn cael ei ddefnyddio'n lleol; rhaid anfon ymlaen becyn a gyfeiriwyd at westeiwr y tu ôl iddo, ac mae muriau tân yn barnu'r ddau achos ar wahân. Felly nid yw caniatâd i gyrraedd y llwybrydd yn dweud dim am ganiatâd i'w groesi. Mae cadarnwedd sy'n cuddio ei setiau rheolau yn dal i weithredu'r ddau, fel arfer fel dewisydd sy'n cynnig y LAN, y rhyngrwyd neu'r ddau. Os yw'r dewisydd yn gadael y LAN allan, ni fydd unrhyw wiriad diweddarach o bwys.

Mae OpenWrt yn gwneud y rhaniad hwn yn archwiladwy, ac mae'r gwahaniaeth yn werth ei ddarllen unwaith. Mae'r parth sy'n terfynu'r twnnel angen rheol anfon ymlaen sy'n pwyntio at barth y LAN, tra mai rheol fewnbwn sy'n llywodraethu gwasanaethau ar y llwybrydd ei hun yn unig. Tudalen weinyddu sy'n gweithio wrth ymyl LAN marw yw canlyniad arferol y rheol anfon ymlaen sydd ar goll.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Edrychwch ar darged anfon ymlaen y parth sy'n cario'r twnnel: accept sydd ei angen ar yr ysgol, ac mae reject yn esbonio pob cyfnod disgwyl isod. Mae dau osodiad cyfagos yn cynhyrchu'r un symptom, felly diarddelwch hwy tra byddwch yma. Mae ynysu di-wifr yn cuddio gwesteiwyr gwifrog rhag cleientiaid di-wifr, a gall llwybrydd sy'n trin gwesteiwyr LAN segur fel rhai all-lein ollwng yr atebion hyd yn oed ar ôl i anfon ymlaen weithio.

Pam mae twnnel hollt angen y rhagddodiad wedi'i wthio

Mae cleient sy'n anfon yr holl draffig drwy'r twnnel eisoes yn dal y rhagddodiad LAN drwy ei lwybr diofyn, felly nid oes dim i'w ychwanegu. Twnnel hollt yw'r achos sydd angen y rhagddodiad wedi'i nodi'n benodol, oherwydd nid oes dim arall yn y ffurfweddiad yn sôn amdano. Ychwanegwch y cyfarwyddyd at ffurfweddiad y gweinydd ac ail-lwythwch y gwasanaeth.

push "route 192.168.50.0 255.255.255.0"

Mae proffiliau sy'n cynnwys route-nopull yn anwybyddu llwybrau wedi'u gwthio, felly mae'r un rhagddodiad yn perthyn i ffeil y cleient yn lle hynny. Naill ai ffordd, cadarnhewch fod y cofnod wedi cyrraedd yn hytrach na thybio hynny, oherwydd mae trosiad distaw yn edrych yn union yr un fath â phroblem mur tân.

ip route show | grep 192.168.50

Mae cymar safle-i-safle yn gofyn mwy na gwthiad. Rhaid i'r gweinydd ddysgu pa ragddodiaid sydd y tu ôl i'r cymar hwnnw, sef yr hyn mae llinell iroute yn ei wneud yn ei ffeil client-config-dir, ac mae angen llwybr cyfatebol i'r twnnel ar ei dabl ei hun.

Mae'r ateb angen cyfeiriad y gall gyrraedd ato

Dim ond hanner cyfnewid yw anfon y cais ymlaen, oherwydd rhaid i westeiwr y LAN ateb cyfeiriad yng nghronfa'r twnnel. Mae llwybryddion bach fel arfer yn trefnu hynny drwy gyfieithu'r ffynhonnell ar barth y twnnel, felly mae'r ateb wedi'i gyfeirio at y llwybrydd ac nid oes angen ffurfweddiad yn unman arall. Tynnwch y cyfieithu hwnnw ac mae'r gwesteiwr angen ei lwybr ei hun i'r gronfa, y mae'n ei gael am ddim pan fo'r llwybrydd yn giât ddiofyn iddo. Mae gwesteiwr â chyfeiriad wedi'i osod â llaw a chyfadwy gwahanol yn ateb drwy'r giât honno, ac mae'r cleient yn gweld sesiwn yn agor ac yna'n aros.

tcpdump -ni tun0 host 192.168.50.20

Rhedwch hynny ar y llwybrydd tra bo'r cleient yn ailadrodd ei gais, a darllenwch gyrchfan yr ateb yn hytrach na'r cais ei hun. Mae ateb wedi'i gyfeirio at y gronfa yn golygu bod y llwybr dychwelyd yn gweithio a bod y methiant yn bellach i mewn. Dim ateb o gwbl yn golygu na dderbyniodd y gwesteiwr y pecyn erioed, sy'n eich anfon yn ôl at y set rheolau.

Ysgol sy'n gorffen yn y lle iawn

Mae pedwar gwiriad yn lleoli'r haen, a phob un yn un gorchymyn yn hytrach na barn. Rhedwch hwy yn eu trefn a stopiwch ar y methiant cyntaf. Mae'r drefn yn bwysicach na'r gorchmynion, oherwydd mae cam diweddarach sy'n pasio yn cuddio'r rheswm y methonodd un cynharach.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Mae enwau'n perthyn ar ddiwedd yr ysgol, byth ar y dechrau. Mae rhannu sy'n ateb fel 192.168.50.20 ond nid fel nas.local yn cyfeirio at gydraniad enwau neu at olddodiad chwilio, ac ni all golygiadau mur tân newid y naill na'r llall.

Cofnodwch y cam cyntaf a fethodd, yna rhoddwch bas ei hun i borthladdoedd gwasanaeth, oherwydd mae gwrandäwr a chaniatâd gwesteiwr yn ofynion ar wahân. Mae rhannu ffeiliau, bwrdd gwaith o bell a ffrydiau camera i gyd angen y ddau, ac mae mur tân gwesteiwr sy'n ymddiried yn is-rwyd y LAN ond nid yng nghronfa'r twnnel yn gollwng y cleient tra bo ping yn dal i lwyddo. Pan fydd pob gwiriad yn pasio ac mae'r rhaglen yn dal i fethu, mae'r bai uwchben y twnnel: gwasanaeth wedi'i rwymo i un rhyngwyneb, neu ddirprwy wedi'i ffurfweddu ar y cleient.