Cleient VPN llwybriedig yn cyrraedd y gweinydd ond nid gwesteion y LAN

Daw'r tiwnel i fyny, mae'r cleient yn pingio'r gweinydd VPN, ac nid yw rhaniad ar beiriant un naid ymhellach i ffwrdd byth yn ateb. Nid oes dim yng nghyfluniad y cleient yn esbonio hyn, oherwydd gwnaeth y cais adael y cleient a gwnaeth gyrraedd. Yr hyn a fethodd yw'r daith yn ôl, a'r ddyfais a fethodd fel arfer yw porth y LAN yn hytrach na gwesteiwr VPN. Mae olrhain y pecyn ateb yn esbonio'r dosbarth cyfan o symptomau.

Dilynwch yr Ateb, Nid y Cais

Mae'r gweinydd VPN yn dadgryptio pecyn y cleient ac yn ei anfon ymlaen i'r LAN gyda chyfeiriad y cleient yn dal yn y maes ffynhonnell. Mae'r gwesteiwr cyrchfan yn ateb y cyfeiriad hwnnw, ac yn awr ei dabl llwybr ei hun sy'n penderfynu popeth. Nid yw ei borth rhagosodedig yn gwybod dim am bwll y tiwnel, felly mae'r ateb yn gadael tuag at y darparwr rhyngrwyd ac yn cael ei daflu i ffwrdd rywle ar hyd y llwybr hwnnw.

Ar y cleient y symptom yw terfyn amser distaw: dim gwrthod, dim ailosod, dim ond dim. Mae pori rhaniad yn hongian, mae ping yn adrodd nad oes ateb, ac mae logiau'r gweinydd yn edrych yn iach oherwydd gwnaeth y gweinydd ei waith.

Rhowch y Llwybr Dychwelyd Lle Mae'r Gwesteion yn Edrych

Mae pob gwesteiwr LAN yn ymgynghori â'i borth rhagosodedig, felly y porth yw'r un ddyfais sydd angen gwybod ble mae pwll y tiwnel yn byw. Ychwanegwch lwybr statig yno ac mae pob gwesteiwr yn etifeddu'r llwybr cywir heb gael ei gyffwrdd.

Os yw'r porth yn dosbarthu ei gyfeiriad ei hun fel opsiwn DHCP, dosbarthwch y llwybr y ffordd honno fel bod peiriannau newydd yn ei godi'n awtomatig. Fel arall mae'r llwybr yn byw mewn un ffeil gyfluniad ac yn diflannu yn yr ailadeiladu nesaf.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Pam Mae NAT Ffynhonnell yn Ymddangos yn Trwsio'r Peth

Mae mygu pwll y cleientiaid y tu ôl i gyfeiriad y gweinydd VPN yn dileu'r broblem drwy ddileu cyfeiriad y cleient o'r pecyn. Yna daw atebion yn ôl i'r gweinydd, sydd eisoes yn gwybod sut i gyrraedd y tiwnel, ac mae popeth yn gweithio. Y gost yw na all gwesteion mewnol weld pwy yw'r cleient mwyach, ac mae pob cysylltiad yn edrych fel pe bai'n tarddu o un peiriant.

Mae'r cyfnewid hwnnw'n gywir weithiau, er enghraifft pan na ellir rhoi llwybr statig i declyn gwerthwr. Peidiwch â gwneud y rheol yn lletach na'r pwll presennol, oherwydd mae rheol a ysgrifennwyd ar gyfer /24 yn peidio â chydweddu ar y diwrnod y caiff y pwll ei ail-rifo i /16, a'r arwydd cyntaf yw swp o gleientiaid newydd sy'n cysylltu ac yn cyrraedd dim byd.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Mae'r Llwybr Cwmwl Angen Tri Gosodiad

Mewn VPC daw'r un bwlch yn ôl ar ffurf wahanol, oherwydd nid oes gan yr is-rwydwaith unrhyw lwybr ar gyfer yr ystod cleientiaid o gwbl. Mae angen cofnod yn nhabl y llwybrau ar gyfer pwll y tiwnel sy'n targedu rhyngwyneb rhwydwaith yr enghraifft, ac mae angen diffodd gwirio ffynhonnell a chyrchfan ar y rhyngwyneb fel bod y platfform yn derbyn pecynnau nad yw eu ffynhonnell yn gyfeiriad ei hun. Rhaid i grwpiau diogelwch ac ACL rhwydwaith hefyd dderbyn y pwll i'r ddau gyfeiriad.

Mae pob hepgoriad yn cynhyrchu methiant rhannol gwahanol. Hepgorwch y cofnod yn nhabl y llwybrau ac mae enghreifftiau preifat yn ateb i is-rwydwaith na all gludo'r ateb yn ôl i'r pwll. Gyda gwirio'n dal i fod ymlaen, mae'r platfform yn gollwng yr ateb ar ôl i'r enghraifft ei anfon yn barod. Heb reol y grŵp diogelwch, nid yw'r cais ei hun byth yn cyrraedd, ac mae'r cleient yn gweld y terfyn amser un haen ynghynt.

Rhedwch y Gwiriadau yn y Drefn Hon

Cadarnhewch anfon ymlaen a'r polisi hidlo cyn beio llwybro, oherwydd mae gwesteiwr na fydd yn anfon ymlaen yn methu yr un ffordd ddistaw. Yna darllenwch y gosodiad llwybr cefn effeithiol ar y rhyngwyneb sy'n cario'r tiwnel, gan y gall hidlydd llym daflu atebion sy'n cyrraedd o gyfeiriad annisgwyl.

Gorffennwch gyda chipiad a gymerwyd ar westai'r LAN tra bod y cleient yn ei pingio. Mae cais sy'n cyrraedd heb ateb cyfatebol yn profi'r llwybr dychwelyd, ac mae cais na chyrhaeddodd byth yn symud y bai yn ôl i'r gweinydd neu'r tiwnel.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Mae'r gwiriad ffynhonnell a chyrchfan wedi'i ddogfennu yn ganllaw'r rhyngwyneb rhwydwaith elastig. Gosodwch ef ar y rhyngwyneb sy'n cario traffig y tiwnel mewn gwirionedd, nid ar addasydd amherthnasol sydd wedi'i gysylltu â'r un enghraifft.