VPN ar y llwybrydd neu gyfeirio porth: pwy sy’n ennill?

Mae’r llwybrydd yn terfynu’r VPN ei hun, ac mae hen reol gyfeirio yn dal i anfon yr un porth UDP i beiriant ar y LAN. Dim ond un o’r rhain all fod y pen draw go iawn, ac nid yw’r cnewyllyn yn dyfarnu. Mae cyfieithu cyrchfan yn ailysgrifennu’r pecyn cyn ymgynghori â’r gwasanaeth lleol, felly mae proses y VPN yn aros am draffig sydd eisoes wedi’i anfon rywie arall. Y dasg yw penderfynu pwy sy’n berchen ar y porth, a wedyn gwneud y rheolau’n gytûn.

Un porth, dau berchennog dan hawliad

Mae angen caniatâd i mewn ar weinydd VPN sy’n rhedeg y tu mewn i’r llwybrydd, ac mae’r caniatâd hwnnw’n arwain at ei soced ei hun. Mae cofnod NAT cyrchfan ar gyfer yr un porth yn arwain i rywle hollol wahanol: cyfeiriad LAN a phenderfyniad cyfeirio. Dau ben draw gwahanol ydynt, â logiau gwahanol a moddau methu gwahanol. Y cliw arferol yw bod un teulu cyfeiriadau’n gweithio a’r llall ddim, oherwydd ysgrifennwyd y cofnod dros ben ar gyfer un teulu yn unig ac na chafodd ei ailweldio byth.

Nodwch yr hawliad cyn golygu: teulu, cyfeiriad allanol, trafnidiaeth, porth, a’r targed a gyfieithwyd.

Mae’r cyfieithu’n rhedeg cyn yr archwiliad lleol

Mae NAT cyrchfan yn newid targed y pecyn yn y cam cynllwybro, cyn i’r cnewyllyn ddewis rhwng danfoniad lleol a chyfeirio. Unwaith y daw’r targed yn westeiwr LAN, mae’r pecyn yn cymryd llwybr y cyfeirio. Ni ymgynghorir byth â rheolau mewnbwn ar gyfer soced y llwybrydd ei hun, a dyna pam mae log y VPN yn aros yn wag tra mae’r cleient yn amseru allan.

Intended local entry:
WAN UDP 1194 -> router local socket -> input path

Conflicting old entry:
WAN UDP 1194 -> DNAT 192.168.50.10:1194 -> forward path

Y drefn honno yw’r mecanwaith cyfan, ac mae rhyngwynebau offer yn ei chuddio tu ôl i flychau ticio heb ei newid. Mae perchennog y cyrchfan yn dal i benderfynu pa lwybr y bydd pecyn yn ei gymryd.

Os gwesteiwr y LAN yw’r pen draw a fwriadwyd, mae’r cyfeirio’n gywir ac ni ddylai’r llwybrydd fod yn gwrando ar y porth hwnnw hefyd.

Cadwch un mapio a thynnwch y llall

Rhestrwch gofnodion NAT ar gyfer y porth a’r teulu hwnnw a dewiswch y goroeswr:

sudo iptables -t nat -S | grep 1194
sudo ss -lunp | grep :1194

Nid yw cofnod TCP â’r un rhif yn berthnasol i fethiant UDP, ac mae eu trin fel un gwrthrych yn arwain at ddileu’r rheol anghywir. Pan ddylai’r soced lleol ennill, mae perchennog y mapio sy’n gwrthdaro yn tynnu neu’n ailysgrifennu’r cofnod hwnnw, ac mae’r caniatâd i mewn ar gyfer porth y llwybrydd ei hun yn aros yn ei le. Dylai cyfeiriadau di-gysylltu, y llwybr rheoli, a chopi o’r rheolset i gyd oroesi’r newid.

Os yw’r VPN yn byw ar westeiwr ar wahân, y cyfeirio yw’r gwrthrych cywir. Efallai y bydd angen porth a gyhoeddwyd ar wasanaeth mewn cynhwysydd neu beiriant rhithwir hyd yn oed pan elwir y blwch yn llwybrydd, felly dilynwch y soced a’i enwofod yn hytrach na’r label ar y cas.

Cadarnhewch y perchennog o’r tu allan

Profwch bob teulu ar wahân, oherwydd nid yw cysylltiad IPv6 sy’n terfynu ar y llwybrydd yn dweud dim am gysylltiad IPv4 y mae hen reol yn ei ailgyfeirio. Darllenwch log y gwasanaeth sy’n derbyn i weld pa ben draw a atebodd, a chymerwch neges llwyddiant y cleient fel tystiolaeth wan. Mae angen llif newydd ar gyfer prawf ystyrlon. Anfonwch brof o westeiwr allanol gyda nc -zvu 203.0.113.7 1194 a darllenwch log yr enillydd gyda journalctl -u openvpn@server -n 20. Mae gwrandäwr y llwybrydd yn cofnodi’r cysylltiad ei hun, tra mae gwesteiwr LAN yn ei gofnodi yn ei wasanaeth ei hun.

Mae olrhain cysylltiadau’n cadw llifau presennol ar eu mapio gwreiddiol, felly gall sesiwn sefydledig oroesi’r rheol rydych newydd ei thrwsio.

Unwaith y bydd y pen draw a fwriadwyd yn ateb â’i wiriadau hunaniaeth arferol, profwch adnodd preifat y tu ôl i’r tiwnel. Dim ond y naid gyntaf yw cyrraedd y gwrandäwr allanol; mae llwybro mewnol ac awdurdodi cymhwysiad yn ganlyniadau ar wahân.