Nid yw ateb VPN safle-i-safle yn mynd trwy’r tiwnel

Treuliais fore ar diwnel a ddaeth i fyny’n lân ac a symudai draffig i un cyfeiriad yn union: gallai’r gangen gyrraedd y gweinydd ffeiliau yn y pencadlys, ac roedd pob cysylltiad a agorwyd o’r pencadlys i’r gangen yn marw ar y SYN cyntaf. Roedd yr SAs i fyny, roedd cownteri’r tiwnel yn codi, ac nid y llawysgwyddiad oedd y broblem erioed. Roedd yr ateb yn cael ei lwybro i rywle nad yw’r tiwnel yn ei gynnwys, ac mae’r dewis hwnnw’n perthyn i’r ochr bell. Nid yw VPN safle-i-safle yn cario ond y pecynnau y mae gwesteiwr yn eu rhoi i’r giât, ac mae pob gwesteiwr yn gwneud y dewis hwnnw ar wahân, ym mhob cyfeiriad, o’i dabl llwybro ei hun.

Mae’r ddau gyfeiriad yn cael eu llwybro ar wahân

Nid yw IP yn cadw cof o gyfeiriad sgwrs. Mae pob gwesteiwr sy’n anfon pecyn yn rhedeg ei chwiliad rhagddodiad hiraf ei hun, yn dewis un naid nesaf, ac yn anghofio’r penderfyniad. Mae’r cais a’r ateb yn ddau becyn heb berthynas sy’n digwydd bod yn perthyn i’r un gysylltiad, a’r tiwnel yw un naid y gall y naill neu’r llall ei defnyddio neu beidio. Nid oes dim yn y gyfnewidfa IKE yn dysgu’r gweinydd pell sut i gyrraedd eich is-rwydwaith; dim ond cytuno pa ragddodiadau y gellir eu hamgryptio y mae’r trafodaeth.

Mae’r cytundeb hwnnw’r ail giât. Ar strongSwan y detholwyr traffig yw leftsubnet a rightsubnet, ac nid yw pecyn y mae ei ffynhonnell neu ei gyrchfan y tu allan i’r pâr a drafodwyd yn cael ei amgryptio, beth bynnag a ddywed y tabl llwybro. Mae rhagddodiad sy’n cael ei lwybro i’r tiwnel ond sy’n eisiau o’r detholwyr yn fethiant unffordd distaw: mae’r llwybr yn edrych yn iawn, mae’r pecyn yn dal i adael yn glir neu’n cael ei ollwng, a dim ond log charon sy’n cwyno.

Nid yw’r gwesteiwr pell yn gwybod dim am eich tiwnel

Y tu mewn i’r LAN pell mae’r ateb yn becyn cyffredin wedi’i gyfeirio at eich cleient. Nid yw’r gwesteiwr cyrchfan yn gweld unrhyw bennawd IPsec ac nid oes ganddo reswm i ffafrio’r giât VPN; mae’n chwilio am eich rhagddodiad, yn methu â chael dim mwy penodol na’i lwybr diofyn, ac yn dilyn hwnnw. Os yw’r llwybr diofyn yn pwyntio at graiddwal tân, naill ai mae gan y wal dân lwybr yn ôl i’r tiwnel neu nid oes ganddi. Pan nad oes ganddi, rydych yn cael gollyngiad distaw, ICMP na ellir ei gyrraedd, neu ateb sy’n gadael drwy’r rhyngwyneb sy’n wynebu’r rhyngrwyd ac yn marw.

Mae ail ryngwyneb yn ddigon i dorri hyn hyd yn oed pan fo llwybr yn bodoli. NAS â dolen reoli ar VLAN arall, gweinydd ag uplink wrth gefn, rheol polisi sy’n anfon un ystod ffynhonnell i ail dabl: gall unrhyw un o’r rhain ddal yr ateb. Ar Linux, mae ip rule show a ip route show table all yn datgelu rheolau a thablau y mae’r rhestr ddiofyn yn eu cuddio.

Darllenwch y penderfyniad ar y blwch sy’n anfon yr ateb

Gofynnwch i’r cnewyllyn cyn i chi newid unrhyw beth, a rhowch y cyfeiriad ffynhonnell iddo, oherwydd mae rheolau sy’n dibynnu ar ffynhonnell yn newid yr ateb.

ip route get 10.10.5.10 from 10.20.30.15
ip rule show
ip route show table all
ss -tn state established "( sport = :445 )"

Mae’r allbwn yn enwi’r rhyngwyneb allan a’r naid nesaf. Os nad y rhyngwyneb sy’n wynebu’r giât VPN yw’r un, rydych wedi dod o hyd i’r diffyg, a’r gwaith sy’n weddill yw dewis lle mae’r llwybr yn perthyn. Nid yw ping o’r giât yn profi llawer yma: mae’n ateb ag anerchiad y gall y gwesteiwr pell ei osod, nid anerchiad eich gliniadur.

Ar Windows y cywerthyddion yw Find-NetRoute -RemoteIPAddress 10.10.5.10 ar gyfer y penderfyniad a Get-NetRoute ar gyfer y tabl. Mae llwybr a ychwanegwyd â New-NetRoute sy’n cario metrig uwch na’r diofyn yn colli’n ddistaw, felly darllenwch y golofn fetrig, nid y cofnod. Yna cadarnhewch â phecynnau: mae tcpdump -ni any "host 10.10.5.10 and tcp port 445" ar ryngwyneb LAN pell yn dangos y cais, ac mae’r un hidlydd ar ochr y tiwnel yn dangos a ddaeth ateb yn ôl. Cais i’w weld heb ateb yn golygu bod yr ateb wedi’i lwybro i rywle arall neu wedi’i ollwng; mae ateb ar y rhyngwyneb anghywir yn rhoi’r drwgweithredwr i chi cyn i chi gyffwrdd â llwybr.

Pan nad yw’r giât gweinydd yn ben terfyn VPN

Mae llawer o safleoedd yn rhoi wal dân rhwng y gweinyddion a’r crynhorydd. Mae’r wal dân honno’n trosglwyddo’r ateb, felly mae angen llwybr ar gyfer rhagddodiad eich cleient yn pwyntio at y giât VPN, a pholisi trosglwyddo yn y ddau gyfeiriad. Mae dyfeisiau cyflwr yn gwneud hyn yn waeth: croesodd y cais y wal dân o westeiwr LAN y caniataodd, mae’r ateb nawr yn cyrraedd o gyfeiriad gwahanol, ac nid yw’r cofnod olrhain cysylltiad yn cyfateb mwyach, felly mae’r pecyn yn cael ei daflu fel annilys yn hytrach na’i wrthod. Dyna pam mae log polisi yn edrych yn wag tra bo traffig yn diflannu.

Mae gan y giât ei hail hidlydd ei hun. Mae hidlo llwybr cefn Linux yn gollwng pecynnau nad yw eu ffynhonnell yn cyrraeddadwy drwy’r rhyngwyneb y daethant arno, sef yn union siâp llwybr dychwelyd anghymesur dilys. canllaw trosglwyddo strongSwan yn gofyn am net.ipv4.ip_forward a net.ipv4.conf.all.rp_filter llacach oherwydd hynny. Mae gwerth llym o 1 ar y naill giât neu’r llall yn torri llwybr cywir yn ddistaw, ac mae nstat -az yn dangos y gollyngiadau os ydych yn gwybod ble i edrych.

Llwybrwch neu cyfieithwch, yna gwiriwch yn y ddau gyfeiriad

Nid yw’r ddau atgyweiriad yn gyfwerth. Mae ychwanegu llwybr yn cadw anerchiad y cleient yn gyfan, felly mae rheolau sy’n seiliedig ar ffynhonnell, logiau archwilio a rhaglenni sy’n cofnodi’r galwr yn parhau i weithio; y pris yw bod angen y llwybr ar bob naid sy’n gwneud y penderfyniad, sef mwy o lefydd i fod yn anghywir. Mwgwd ar y giât bell yn cyfangu’r llwybr dychwelyd i un naid, oherwydd mae’r ateb bellach wedi’i gyfeirio at y giât ei hun, ac yn cuddio pa gleient a wnaeth beth.

iptables -t nat -A POSTROUTING -o eth1 -s 10.20.30.0/24 -j MASQUERADE

Dewiswch ef yn fwriadol: unwaith y bydd cleientiaid yn ymddangos fel anerchiad y giât, mae ACLau sy’n seiliedig ar ffynhonnell yn peidio â’u gwahaniaethu, ac mae’n rhaid i conntrack ddal y mapio fel bod yr ateb yn cael ei ailysgrifennu yn ôl i’r tiwnel. Os yw’r detholwyr yn dal i eithrio rhagddodiad y cleient, nid yw NAT yn newid dim, oherwydd nid aeth y cais i’r tiwnel erioed.

Cyn i chi alw hyn yn drws, cadarnhewch bedwar peth yn eu trefn: y llwybr ar y gwesteiwr sy’n anfon yr ateb, y llwybr ar bob naid sy’n ei drosglwyddo, y detholwyr sy’n cwmpasu’r ddau ragddodiad, a chofnod sy’n dangos yr ateb yn mynd i’r tiwnel gyda’r ffynhonnell rydych yn ei disgwyl. Yna ailadroddwch y prawf o’r safle arall. Mae un cyfeiriad yn pasio yn gynllun hanner-agored, ac mae’r ail gyfeiriad fel arfer yn methu am reswm gwahanol i’r un a drwsiwyd gennych gynnau.