Llwybr VPN neu reol wal dân: pa un sy’n gollwng y pecyn?

Mae dau benderfyniad annibynnol yn digwydd i’r un pecyn, a gall y naill neu’r llall ddod â’r cais i ben yn dawel. Mae’r chwiliad llwybro yn dewis rhyngwyneb a naid nesaf, yna mae’r hidlydd pecynnau yn penderfynu a yw’r cyfuniad hwnnw’n cael ei ganiatáu. Mae terfyn amser yn dweud wrthych i un o’r ddau wrthod, nid pa un. Gweithiwch drwy’r camau yn eu trefn ac mae’r atgyweiriad fel arfer yn peidio â bod yn ddyfaliad.

Dau benderfyniad, un pecyn, dau berchennog

Mae’r chwiliad llwybro yn ymgynghori â rheolau polisi yn gyntaf, yna’r tabl y maent yn cyfeirio ato, ac yn dewis y rhagddodiad mwyaf penodol sy’n cyfateb i’r gyrchfan. Mae cleient sydd wedi gosod llwybr twnnel yn berchen ar y penderfyniad hwnnw, ac ni all dim mewn rheol wal dân ei ddisodli. Pan fydd y chwiliad yn pwyntio i rywle annisgwyl, mae pob cam diweddarach yn gweithio ar y pecyn anghywir.

Mae hidlo ar wahân. Ar westeiwr Linux mae bachau netfilter yn rhannu traffig yn ôl ar gyfer pwy mae’r pecyn: mae allbwn yn gadael y peiriant, mae mewnbwn yn terfynu arno, mae ymlaen yn mynd drwyddo. Mae porth sy’n derbyn cleientiaid VPN ac yn eu llwybro i LAN angen y llwybr ymlaen, a dyna’n union y gadwyn y mae’r rhan fwyaf o ffurfweddiadau diofyn yn ei gadael yn wag.

Mae dewis ffynhonnell yn perthyn i’r un penderfyniad, a dyna lle mae’r rhan fwyaf o anghysondebau yn cuddio. Mae’r cnewyllyn yn dewis cyfeiriad ffynhonnell o’r rhyngwyneb allanol oni bai bod y llwybr yn enwi un, felly nid yw rheol hidlydd a ysgrifennwyd ar gyfer is-rwydwaith LAN byth yn cyfateb i becyn sy’n gadael gyda chyfeiriad y twnnel.

Darllenwch beth a ddewisodd y chwiliad mewn gwirionedd

Argraffwch y penderfyniad yn lle ei gasglu. Mae’r gorchymyn isod yn datrys y llwybr y byddai’r cnewyllyn yn ei ddefnyddio ar gyfer y gyrchfan honno, gan gynnwys y rhyngwyneb a’r ffynhonnell y byddai’n ei dewis:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

Mae cleientiaid VPN yn aml yn gosod rheolau polisi ar flaenoriaethau islaw’r prif dabl, felly nid yw prif dabl glân yn profi dim ar ei ben ei hun. Cymharwch flaenoriaethau’r rheolau â’r tablau y maent yn eu dewis, a gwiriwch a yw llwybr y twnnel yn goroesi ailgysylltiad yn lle cael ei ychwanegu â llaw unwaith.

Mae IPsec sy’n seiliedig ar bolisi yn ychwanegu trydydd cam cyfateb nad yw llwybro yn ei gwmpasu, fel y mae nodiadau ymlaen strongSwan yn ei ddisgrifio ar gyfer sefydliadau twnnel a thrafnidiaeth. Mae’r polisi diogelwch yn dewis traffig yn ôl rhagddodiad a phrotocol, tra bod y llwybr ond yn penderfynu i ble y byddai pecyn heb ei amddiffyn yn mynd. Mae is-rwydwaith sydd wedi’i lwybro ond heb ddetholwr cyfatebol naill ai’n aros heb ei amddiffyn neu’n cael ei ollwng, yn dibynnu ar y ffurfweddiad, ac nid yw’r naill ganlyniad na’r llall yn edrych fel problem wal dân. Argraffwch y polisi a chymharwch ei ddetholwyr â’r rhagddodiaid yr oeddech yn disgwyl i’r twnnel eu cario.

Mae hidlo yn gymwys ar fach, nid ar lwybr

Mae rheol sy’n caniatáu’r gwrandawr VPN yn rheol am draffig a gyfeiriwyd at y porth ei hun. Nid yw’n dweud dim am gleientiaid sy’n cyrraedd gwesteiwyr y tu ôl i’r porth hwnnw, oherwydd mae traffig a anfonwyd ymlaen yn mynd drwy gadwyn wahanol. Mae darllen y set rheolau fel un rhestr fflat yn rheswm arferol dros beidio â thanio rheol sy’n edrych yn gywir.

Mae cownteri yn setlo’r cwestiwn yn gyflym. Nid yw rheol â chownter pecynnau sero erioed wedi’i chyrraedd, sy’n pwyntio at y gadwyn anghywir, y rhyngwyneb anghywir neu ollwng cynharach. Rheol â chownter sy’n tyfu o dan bolisi gollwng yw’r ffin yr oeddech yn chwilio amdani, ac mae’r pecyn yn cael ei daflu yn hytrach na’i lwybro’n anghywir.

Anfonwch brof drwy’r llwybr y mae’r cleient yn ei ddefnyddio

Mae profion a redir ar y porth ei hun yn teithio drwy allbwn a mewnbwn, gyda chyfeiriad ffynhonnell y porth ei hun. Mae hwnnw’n llwybr gwahanol i gais a anfonwyd ymlaen gan gleient, felly mae curl lleol llwyddiannus yn profi llai nag y mae’n ymddangos. Profwch o’r peiriant sy’n methu, neu pinwch y rhyngwyneb a’r ffynhonnell yn benodol.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Mae dal ar y ddau ben yn gwahanu’r achosion sy’n weddill. Mae SYN sy’n gadael y cleient ac nad yw byth yn cyrraedd yn golygu llwybro, amgryptio neu restr mynediad i fyny’r afon. Mae SYN sy’n cyrraedd ac nad yw’n cael ateb yn golygu’r gwasanaeth neu ei hidlydd gwesteiwr, ac nid oedd y twnnel byth yn broblem.

Mae traffig dychwelyd yn haeddu edrychiad ei hun. Mae llwybro anghymesur ynghyd â hidlo llwybr gwrthdro yn gollwng atebion sy’n cyrraedd y rhyngwyneb anghywir, sy’n ymddangos fel cysylltiad unffordd yn hytrach na phorth wedi’i rwystro. Gwiriwch werth sysctl cyn beio’r wal dân am symptom na achosodd hi.

Mae logio yn gweithio fel ail farn, nid cam cyntaf. Mae datganiad log dros dro ar y gadwyn ymlaen yn enwi’r rhyngwyneb a’r cyfeiriadau a’i trawodd, ac mae’n hawdd ei dynnu wedyn. Gadewch ef yn barhaol a byddwch wedi creu problem cyfaint logiau yn lle ateb.

Rhowch bob newid lle mae’n goroesi ailgysylltiad

Mae llwybr a ychwanegwyd gyda ip route add yn byw nes i’r rhyngwyneb fynd i lawr. Cadwch ef yn y proffil cysylltiad yn lle hynny: mae NetworkManager yn derbyn llwybrau ychwanegol ar y cysylltiad, ac mae netplan yn eu cadw ar draws cychwyn. Mae’r un rheol yn gymwys i eithriad wal dân ar ochr y cleient, sy’n diflannu ar ôl yr ail-lwytho nesaf.

Mae rheolau ochr y gweinydd yn perthyn i’r ffeil ffurfweddu y mae’r gwasanaeth yn ei lwytho wrth gychwyn, nid i sesiwn ryngweithiol sy’n gorffen pan fyddwch yn ei chau. Ysgrifennwch y rheol, ail-lwythwch, a chadarnhewch fod y cownter wedi symud, oherwydd mae ail-lwytho a wrthododd y gystrawen yn gadael yr hen set rheolau yn ei lle yn dawel.

Yna ailadroddwch y cais gwreiddiol gan y rhaglen o’r dechrau i’r diwedd a chofnodwch pa haen a newidiodd. Bydd atgyweiriad llwybr a oedd hefyd angen newid hidlydd yn dal i fethu, ac mae’r ail fethiant yn darllen yn llawer haws ar ôl i chi wybod bod y cyntaf wedi mynd. Nodwch y dyddiad a fersiwn y cleient wrth ymyl y canlyniad, gan fod diofynion llwybro a hidlo ill dau yn symud rhwng datganiadau. Cadwch y nodyn hwnnw ar y tocyn fel bod y person nesaf yn dechrau lle gwnaethoch chi stopio yn lle ailadrodd y daith ddau gam.