Mae cleientiaid VPN yn cyrraedd y gweinydd ond nid y LAN: pa atgyweiriad?

Mae'r cleient yn pingio cyfeiriad twnnel y gweinydd OpenVPN ac yn cael ateb, yna'n ceisio gwesteiwr yn LAN y gweinydd ac yn cael dim. Mae'r rhaniad hwn yn culhau'r diffyg yn sylweddol: mae'r twnnel i fyny, mae'r anfon ymlaen yn gweithio mae'n debyg, ac mae'r ateb yn gadael drwy ddrws nad yw'n arwain yn ôl. Mae tri atgyweiriad, a'r un iawn yn dibynnu ar yr hyn a reolwch a'r hyn yr ydych yn barod i'w roi heibio. Atebwch y tri chwestiwn isod yn eu tro ac nid yw'r dewis yn fater o flas mwyach.

Yn gyntaf, cadarnhewch pa gyfeiriad sy'n doredig

Mae'r cais yn cyrraedd y rhyngwyneb twnnel gyda chyfeiriad ffynhonnell o'r pwll VPN. Mae'r gweinydd yn ei anfon ymlaen i westeiwr yn y LAN, ac mae'r gwesteiwr hwnnw'n ateb y porth a enwir gan ei dabl ei hun, fel arfer llwybrydd y LAN. Os nad oes gan y llwybrydd lwybr i'r pwll, mae'r ateb yn marw yno neu'n crwydro tuag at y rhyngrwyd.

Profwch y ddwy beiriant cyn newid y naill na'r llall. Gofynnwch i dabl llwybro'r gweinydd sut y byddai'n cyrraedd cleient; gofynnwch i westeiwr y LAN sut y byddai'n cyrraedd yr un cyfeiriad. Mae'r chwiliad cyntaf fel arfer yn pwyntio at y twnnel a'r ail at lwybrydd y LAN, a'r gwahaniaeth hwnnw yw'r diffyg mewn un llinell. Mae dau chwiliad yn rhatach nag archwiliad mur tân ac maent yn pennu cyfeiriad y broblem.

ip route get 10.8.0.37
sysctl -n net.ipv4.ip_forward

Os yw gwesteiwr y LAN eisoes yn pwyntio at y gweinydd VPN, eich problem yw rheol mur tân neu derfyn MTU, nid llwybr dychwelyd sydd ar goll. Peidiwch ag ychwanegu llwybr i drwsio hidlydd.

Cwestiwn un: a allwch chi olygu llwybrydd y LAN pell?

Pan fo llwybrydd y LAN yn un i chi, yr ateb glân yw llwybr statig i'r pwll VPN gyda chyfeiriad LAN y gweinydd VPN fel y naid nesaf. Mae'n cadw cyfeiriadau ffynhonnell y cleientiaid yn gyfan, sy'n bwysig pan fo gwesteiwyr y LAN yn cofnodi, hidlo neu gyfyngu cyflymder yn ôl cyfeiriad. Nid oes angen cyfieithu ar y gweinydd chwaith, felly mae'r twnnel yn aros yn lwybr llwybro pur. Y rhwymedigaeth a grëir yw dogfennaeth, oherwydd rhaid i'r pwll, y llwybr a chyfluniad y gweinydd gytuno.

Mae'n methu'n dawel ar y diwrnod y bydd rhywun yn newid y pwll. Nodwch y gwerth unwaith a thriniwch olygiad yn unrhyw un o'r tri lle fel golygiad yn y tri.

Mae angen yr un llwybr ar NAS neu swits layer 3 sy'n cynnal y gwasanaeth, oni bai ei fod yn anfon popeth drwy lwybrydd sydd â hi. Gwiriwch y ddyfais sy'n terfynu'r isrwyd, nid yn unig yr un sy'n wynebu'r rhyngrwyd. Yn aml mae gan rwydweithiau bach dair dyfais â barn am lwybro.

Cwestiwn dau: a all y LAN roi'r gorau i weld cyfeiriadau'r cleientiaid?

Pan fo'r llwybrydd yn perthyn i rywun arall, nid oes angen cydweithrediad ar gyfer cyfieithu ar y gweinydd VPN. Mae gwesteiwr y LAN yn gweld cyfeiriad LAN y gweinydd, yn ateb hwnnw, ac mae'r gweinydd yn cyfieithu'n ôl. Dyna pam mae offer a rolau mynediad o bell sy'n seiliedig ar NAT yn ymddwyn felly.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Y gost yw priodoli: mae cyfeiriadau fesul cleient yn diflannu o gofnodion y LAN. Yna rhaid i unrhyw restr a ganiateir ar westeiwr y LAN enwi'r gweinydd yn lle'r pwll.

Dewiswch gyfieithu pan nad yw cydweithrediad ar gael, nid pan nad yw ond yn anghyfleus. Mae'n cuddio'r cleient rhag pob ymchwiliad yn y dyfodol, gan gynnwys y rhai lle mae angen i chi wybod pa liniadur a agorodd gysylltiad. Gall hefyd dorri protocolau sy'n mewnosod cyfeiriadau yn y tâl, oherwydd mae'r cyfieithu'n byw yn y pennawd. Nid oes yr un opsiwn yn fwy datblygedig; maent yn ateb cwestiynau gwahanol am berchnogaeth.

Cwestiwn tri: a yw'r gweinydd ei hun yn gleient i dwnnel arall?

Dychmygwch y topoleg arall: mae'r gweinydd VPN hefyd yn deialu darparwr masnachol, felly mae ganddo ddau dwnnel a dwy set o gyfeiriadau. Mae'r traffig y mae'n ei anfon ymlaen ar gyfer ei gleientiaid ei hun yn gadael drwy'r darparwr, ac ni fydd hwnnw'n llwybro atebion yn ôl i gyfeiriadau'r pwll. Dyna pam mae atebion yn diflannu er bod y ddau dwnnel yn iach.

Yr atgyweiriad yw cuddwedd ar y twnnel sy'n mynd allan hefyd, fel mai dim ond cyfeiriad twnnel y gweinydd a wel y darparwr. Mae angen ei reol ei hun ar y cyfeiriad gwrthwyneb, oherwydd mae'r gweinydd sy'n cychwyn cysylltiad at un o'i gleientiaid ei hun yn llif gwahanol. Heb y rheol honno mae'r cleient yn ateb cyfeiriad na all ei lwybro. Rhowch y rheol gul cyn unrhyw guddwedd eang fel bod y cyfieithu penodol yn ennill.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun1 -j MASQUERADE
iptables -t nat -A POSTROUTING -d 10.8.0.0/24 -o tun0 -j SNAT --to-source 10.8.0.1

Mae gwesteiwyr ag aml ryngwyneb yn ychwanegu diffyg cysylltiedig sy'n edrych yn unfath o safbwynt y cleient. Mae'r ateb yn gadael drwy'r rhyngwyneb sydd â'r metrig isaf oherwydd dewiswyd y cyfeiriad ffynhonnell o dabl arall. Gwiriwch y llwybr dychwelyd â chwiliad yn lle tybio bod y llwybr allan yn ei awgrymu.

Yna gwiriwch y ddau gyfeiriad a'r ddau faint

Ar ôl y newid, pingiwch o'r cleient i westeiwr yn y LAN ac yna o westeiwr y LAN at y cleient. Yr ail gyfeiriad yw'r un y mae pobl yn ei hepgor, a hwnnw yw'r un sy'n datgelu rheol cyfieithu anghyflawn. Cofnodwch y ddau ganlyniad â stamp amser fel bod modd cymharu atchweliad yn ddiweddarach.

Yna symudwch ddata go iawn, oherwydd mae ping bach sy'n llwyddo tra bo trosglwyddiad mawr yn aros yn symptom MTU. Mae'r diffyg hwnnw'n ymddangos yn syth ar ôl i chi eich llongyfarch eich hun ar drwsio'r llwybr.

Yn olaf, profwch eto ar ôl ailgychwyn. Nid yw gorchmynion llwybr a mur tân amser rhedeg yn goroesi hynny, a bydd atgyweiriad sy'n diflannu yn y cychwyn nesaf yn cael ei ddiagnosio eto gan rywun â llai o gyd-destun. Gwnewch y newid yn barhaol yn y ffordd y mae eich system eisoes yn ei wneud, yna ailgychwynwch unwaith yn fwriadol.