Twnnel i fyny, dim rhyngrwyd: ble mae’r cyfeiriannu’n stopio

Mae’r cleient yn cysylltu, mae’r twnnel yn cario ping i’r porth, ac nid oes dim y tu hwnt iddo yn ateb. Mae’r cyflwr hwnnw’n normal ar gyfer porth a oedd erioed wedi’i fwriadu i ddarparu mynediad i rwydweithiau gwarchodedig yn unig, ac mae’n fai ar gyfer un a hysbysebir fel allanfa twnnel llawn. Cyn newid rheolau, cadarnhewch pa wasanaeth a addawyd. Yna dilynwch un cais cyhoeddus drwy’r pedwar lle y gall stopio. Mae un cais ac un cofnod pecyn yn setlo mwy na thudalen o ddyfalu.

Cadarnhewch ai allanfa i’r rhyngrwyd oedd y cynllun erioed

Mae proffil twnnel hollt yn cyfeirio dim ond yr is-rwydweithiau gwarchodedig i’r VPN, felly mae pori cyhoeddus yn parhau dros y cyswllt lleol ac yn byth yn cyffwrdd y porth. Mae proffil twnnel llawn yn gosod llwybr diofyn yn y twnnel, sy’n gwneud y porth yn gyfrifol am y llwybr cyfan. Mae’r ddau yn gynlluniau dilys, ac mae eu cymysgu yn cynhyrchu adroddiad fai lle nad oes un. Darllenwch y llwybrau a hysbysebir gan y cleient cyn profi unrhyw beth arall, oherwydd mae’r tabl llwybrau yn ateb y cwestiwn y mae’r tocyn fel arfer yn ei osod yn anghywir.

Nid yw’r hyn y mae’r cleient yn ei osod bob amser yn yr hyn y mae’r proffil yn ei fwriadu. Gall llwybr a wthiwyd gael ei ddiystyru gan lwybr lleol â metrig is, ac mae cleient sy’n cadw ei lwybr LAN wrth ychwanegu llwybr diofyn yn ymddwyn fel twnnel hollt ar gyfer yr is-rwydwaith hwnnw.

Dilynwch un cais cyhoeddus

Dewiswch un cyrchfan a’i ddilyn o’r cleient tuag allan. Ar y cleient, gwiriwch a yw’r pecyn yn dewis y twnnel mewn gwirionedd a pha gyfeiriad lleol y mae’n ei ddefnyddio fel ffynhonnell. Yna gwiriwch y porth: a yw’r pecyn yn cyrraedd, ac a yw’n gadael y rhyngwyneb cyhoeddus. Mae pob un o’r atebion hynny’n dileu categori cyfan o achos.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Os nad yw’r porth byth yn gweld y pecyn, mae llwybr y cleient neu ddewis y twnnel yn anghywir. Os yw’n cyrraedd ac nad yw’n gadael, mae’r broblem ar y porth, ac mae’r tri gwiriad sy’n weddill yn berthnasol.

Gwiriwch gyfeiriannu, llwybr a chyfieithu

Mae’r canllaw cyfeiriannu a ddaw gyda strongSwan yn berthnasol i borth o unrhyw fath o dwnnel: rhaid caniatáu i’r cnewyllyn symud pecynnau rhwng rhyngwynebau, a rhaid i lwybr defnyddiadwy bwyntio tuag at y rhyngrwyd. Yna rhaid i bolisi’r mur tân ganiatáu’r traffig, a rhaid i’r cyfeiriad ffynhonnell fod yn un y gall yr ochr gyhoeddus ateb. Nid yw cyfeiriad cleient preifat a gyfeirir yn ddigyfnewid i’r rhyngrwyd byth yn cael ateb.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Cyfieithiad ffynhonnell yw’r darn coll arferol. Gydag ef mae’r porth yn ailysgrifennu ffynhonnell y cleient i’w gyfeiriad cyhoeddus ac yn dilyn y llif; hebddi nid oes gan yr ateb le i fynd. Mae platfformau cwmwl yn ychwanegu ail ffin, lle gall tabl llwybrau neu grŵp diogelwch y gwasanaeth golli traffig y mae mur tân y gwestai yn ei ganiatáu. Mae’r ffin honno’n hawdd ei cholli oherwydd bod y system westai yn edrych wedi’i ffurfweddu’n gywir o’r tu mewn.

Gall hidlo llwybr gwrthdro mewn cyfluniad anghymesur hefyd daflu pecynnau dilys. Darllenwch y rhifydd ar y rheol honno yn lle rhagdybio ei bod yn iawn, oherwydd mae gosodiad llym ar y rhyngwyneb cyhoeddus yn gwrthod traffig sy’n cyrraedd ar hyd llwybr gwahanol i’r un y mae’r tabl llwybrau yn ei ragweld.

Llwybr ateb a datryswr yw dau ateb gwahanol

Gwyliwch am yr ateb yn ogystal â’r cais. Os yw’r cais yn mynd allan wedi’i gyfieithu ac mae’r ateb yn dychwelyd i’r llif cyfieithiedig, mae cyfeiriannu’n gweithio hyd yn oed pan fydd y cymhwysiad yn dal i fethu, ac mae’r ymchwiliad nesaf yn perthyn i’r cymhwysiad neu i DNS.

Mae gwefan sy’n dychwelyd gwall HTTP yn brawf bod cyfeiriannu i’r rhyngrwyd yn gweithio. Mae enw nad yw’n datrys tra mae mynediad drwy gyfeiriad yn gweithio yn broblem datryswr, nid yn broblem NAT.

Ar ôl cywiriad manwl, ailbrofwch y cleient ynghyd ag unrhyw adnodd preifat sydd wedi’i gyfyngu’n fwriadol. Ni ddylai rhoi mynediad i’r rhyngrwyd ymestyn mynediad yn dawel i bob rhwydwaith sydd ynghlwm wrth y porth.