Mae ysgydwad llaw PiVPN yn gweithio, mae tudalennau’n tagu: gwiriwch y MASQUERADE

Mae eich ffôn yn dangos y tiwnel fel un cysylltiedig, mae’r cleient yn adrodd cyfeiriad preifat, ac mae’r dudalen gyntaf yn dal i hongian hanner ffordd drwy lwytho. Mae’r cyfuniad hwnnw’n gyrru’r rhan fwyaf o bobl at osodiadau seiffr a thymheredd y prosesydd, lle nad oes unrhyw beth o’i le mewn gwirionedd. Cododd y tiwnel, felly gorffennwyd y trafodaethau; yr hyn a fethodd yw’r cam wedyn, pan fydd y gweinydd yn ceisio trosglwyddo pecynnau’r cleient i’r rhyngrwyd. Cerddwch yr un llwybr ag y mae’r pecynnau hynny’n ei gymryd, ac mae’r anghysondeb fel arfer yn weladwy mewn un llinell o’r tabl NAT.

Dechreuwch gyda’r hyn y gall y cleient ei gyrraedd a’r hyn na all

O’r cleient cysylltiedig, llwythwch dudalen sy’n byw ar y rhyngrwyd gyhoeddus a nodwch a yw’n methu ar unwaith neu’n tagu hanner ffordd. Yna agorwch adnodd ar gyfeiriad preifat y gweinydd VPN ei hun a chymharu’r ddau ganlyniad.

Mae cyfeiriad tiwnel sy’n ateb ping tra bod safleoedd cyhoeddus yn rhedeg allan o amser yn arwydd o broblem trosglwyddo neu gyfieithu, nid o ysgydwad llaw wedi torri. Ni all panel statws y cleient ei hun wahaniaethu rhwng y ddau, oherwydd dim ond gwybod bod y sianel reoli i fyny y mae’n ei wneud. Gwiriwch ryngwyneb y tiwnel ar y gweinydd gyda ip -br addr show tun0 a chadarnhau bod y cyfeiriad a neilltuwyd i’r cleient yn syrthio o fewn y pwll a ffurfweddwyd gennych. Os yw’r pwll a chyfeiriad y cleient yn anghytuno, trwsiwch hynny gyntaf, oherwydd mae pob rheol isod yn cyfateb i’r pwll.

Nesaf, gofynnwch i’r gweinydd pa ryngwyneb y byddai’n ei ddefnyddio i gyrraedd cyfeiriad cyhoeddus. ip route get 203.0.113.9 yn argraffu’r ddyfais a’r ffynhonnell a ddewiswyd ar ei linell gyntaf. Nodwch enw’r ddyfais honno, oherwydd dyna’r gwerth y mae’n rhaid i’r rheol NAT ei gynnwys.

Darllenwch y rheol sy’n penderfynu a yw pecynnau’n gadael

Mae MASQUERADE yn ailysgrifennu pecyn dim ond pan fydd y pecyn yn gadael drwy’r rhyngwyneb a enwir yn y rheol. Nid yw rheol wedi’i chyfyngu i ddyfais gywyllt yn gwneud unrhyw beth i draffig sy’n gadael dros Wi-Fi, ac mae’r pecyn yn cadw ei gyfeiriad ffynhonnell preifat yr holl ffordd at y llwybrydd uwch. Nid oes gan y llwybrydd hwnnw lwybr yn ôl i’ch pwll tiwnel, felly mae’n gollwng yr ateb, ac mae’r cleient yn gweld cysylltiad sy’n agor ac yna’n marw. Mae’r symptom yn raddio gyda faint o’r dudalen sy’n cyrraedd cyn bod angen yr ateb cyntaf.

Rhestrwch y tabl byw a darllenwch y golofn rhyngwyneb allan yn lle chwilio am y gair MASQUERADE yn unig. Mae allbwn y ffurf ychwanegu yn haws i’w gymharu na rhestr wedi’i fformatio:

ip -br addr show tun0
ip route get 203.0.113.9
sudo iptables -t nat -S POSTROUTING

Ar Raspberry Pi a oedd unwaith yn defnyddio Ethernet ac sydd nawr yn defnyddio Wi-Fi, yr hen enw yw’r stori gyfan bron bob amser. Cofnododd y gosodwr pa ddyfais oedd yn bresennol adeg y gosodiad, ac mae’r set rheolau a gadwyd yn ei hailchwarae ar bob cychwyn. Cymharwch y ddyfais o’r chwiliad llwybr â’r un yn y rheol cyn newid unrhyw beth arall. Os ydynt yn cyfateb, nid y rhyngwyneb yw eich problem a dylech symud at y rhifyddion yn yr adran olaf. Os ydynt yn wahanol, y cywiriad yw golygiad un gair yn y ffeil parhaoldeb.

Cywirwch y set rheolau a gadwyd, nid yr un sy’n rhedeg yn unig

Mae golygu’r tabl byw yn unig yn para tan yr ailgychwyn nesaf, sy’n ddigon hir yn union i’ch argyhoeddi bod y broblem wedi’i datrys. Mae’r rheolau sy’n dychwelyd ar gychwyn yn byw mewn ffeil y mae pecyn parhaoldeb mur gwarchod yn ei hail-lwytho. Ar ddelweddau Pi sy’n seiliedig ar Debian, y ffeil honno yw fel arfer /etc/iptables/rules.v4.

Cymerwch gopi cyn cyffwrdd ag ef, yna disodli’r rhyngwyneb allan ar y llinell MASQUERADE â’r ddyfais a gofnodwyd gennych, er enghraifft -o wlan0 yn lle -o eth0. Gadewch yr ystod ffynhonnell fel y mae oni bai bod eich pwll cleientiaid wedi newid. Ail-lwythwch a chadarnhau bod y rheol nawr yn enwi’r ddyfais gywir:

sudo cp /etc/iptables/rules.v4 /root/rules.v4.bak
sudo iptables-restore < /etc/iptables/rules.v4
sudo iptables -t nat -L POSTROUTING -v -n

Mae dau osodiad cyfagos yn hawdd i’w hanghofio. sysctl net.ipv4.ip_forward rhaid iddo adrodd 1, ac ni ddylai’r llwybrydd uwch fod yn hidlo cyfeiriadau ffynhonnell preifat ar ei ben ei hun.

Profwch fod y rheol yn tanio, yna ynyswch beth sy’n dal yn araf

Y rhifyddion yw’r unig brawf gonest bod rheol wedi cyfateb. Rhedwch y rhestr fanwl, dechreuwch lawrlwytho ar y cleient, a’i redeg eto. Dylai’r colofnau pecynnau a beit wrth ymyl eich rheol godi, ac mae rheol sy’n aros ar sero yn dal i beidio â chyfateb. Os yw’r rhifyddion yn symud ond mae tudalennau’n dal i fethu, cymharwch yr ystod ffynhonnell â’r pwll gwirioneddol gyda grep -n "^server " /etc/openvpn/server.conf. Os ydynt yn symud ac mae tudalennau’n llwytho ond mae’r trwybwn yn wael, mae’r cyfieithu drosodd a’r broblem sy’n weddill yn rhywle arall.

Cymharwch ddau drosglwyddiad o’r un cleient, un i westeiwr ar y rhwydwaith lleol ac un drwy’r tiwnel i’r un westeiwr. Araf yn y ddau achos yn pwyntio at gyswllt uwch y Pi neu’r Wi-Fi, nid at y VPN. Araf drwy’r tiwnel yn unig yn pwyntio at MTU ac ail-drosglwyddiadau, y gallwch eu harchwilio gyda ip -s link show tun0 cyn newid unrhyw osodiad crypto.

I ddadwneud yr arbrawf, adferwch y copi a’i ail-lwytho eto, yna cadarnhewch fod y rheol wreiddiol a’i rhifyddion yn ôl. Ysgrifennwch y ddyfais allan a’r gorchymyn ail-lwytho yn nodiadau’r gweinydd, oherwydd bydd y newid cyswllt nesaf yn ailddarganfod yr un anghysondeb. Mae rheol sy’n enwi’r ddyfais anghywir yn aros yn anweledig nes bod angen traffig arni.