Y naid nesaf mewn llwybr VPN: pam mae’r porth yn rhaid bod yn gyrraeddadwy yn lleol

Mae llwybr i rwydwaith VPN yn cario dau gyfeiriad sy’n hawdd eu drysu: y rhagddodiad cyrchfan y mae’r pecyn yn ceisio ei gyrraedd a’r naid nesaf a fydd yn ei symud un cam yn nes. Ar westeiwr LAN, rhaid i’r naid nesaf fod yn llwybrydd y gallwch chi ei gyrraedd go iawn ar yr un ddolen. Nid yw’r cyfeiriad VPN o bell yn naid nesaf, pa mor daclus bynnag y mae’n cyd-fynd â’r gyrchfan sydd gennych mewn golwg.

Mae’r llawlyfr hwn yn ymdrin â’r achos cyffredin: gliniadur ar 192.168.20.0/24, porth VPN â chyfeiriad LAN o 192.168.20.5, a rhwydwaith o bell 10.70.0.0/24 y tu ôl i’r porth hwnnw. Mae pob gorchymyn isod yn cymryd eich bod ar y gliniadur oni bai y dywedir yn wahanol.

Dau gyfeiriad, un llwybr

Y cofnod arfaethedig yw 10.70.0.0/24 via 192.168.20.5. Mae’r rhagddodiad yn dweud i ble mae’r pecyn yn mynd; mae’r cyfeiriad via yn dweud pwy sy’n ei gario yno. Mae’r cnewyllyn yn gwrthod gosod llwybr na all gyrraedd ei borth drwy’r rhyngwyneb a enwch, a’r gwrthodiad hwnnw yw’r pwynt i gyd: ni all naid nesaf sy’n dibynnu ar y twnnel i fod yn gyrraeddadwy fod y naid nesaf sy’n adeiladu’r twnnel.

Felly nid «a yw’r porth yn gweithio» yw’r archwiliad cyntaf, ond «a yw’r porth ar y ddolen hon». Rhaid i is-rwydwaith y gliniadur ei hun, ei gofnod ARP neu gymydog, a’r rhyngwyneb yn y llwybr gyd-fynd. Gall cyfeiriad sy’n bodoli dim ond y tu mewn i 10.70.0.0/24 fod yn gyrchfan ail lwybr, ond byth yn via y cyntaf.

At beth mae’r naid nesaf yn ymrwymo’r porth

Dim ond y trosglwyddiad cyntaf y mae gosod y llwybr ar y gliniadur yn ei benderfynu. Yna mae ar y porth angen ei lwybr ei hun: anfon ymlaen wedi’i alluogi, llwybr twnnel ar gyfer 10.70.0.0/24, ac unrhyw bolisi mynediad sy’n rheoli pwy all ei ddefnyddio. Ar Linux dyna net.ipv4.ip_forward=1 ynghyd â llwybr twnnel; mae ar y mur tân o’i flaen angen rheol sy’n caniatáu’r ffrwd a anfonir ymlaen.

Y cyfeiriad dychwelyd yw’r rhan y mae pobl yn ei anghofio. Rhaid i’r ochr bell gael llwybr yn ôl i 192.168.20.0/24, neu rhaid i’r dyluniad gyfieithu ffynhonnell y gliniadur yn rhywbeth y mae’r ochr bell yn ei adnabod. Mae ping sy’n gweithio o’r porth yn profi y gall y porth gyrraedd y rhwydwaith pell; nid yw’n dweud dim am a yw pecynnau’r gliniadur yn goroesi’r daith yn ôl.

Gwirio’r chwiliad o’r gwesteiwr sy’n anfon

Gofynnwch i’r cnewyllyn pa naid nesaf y byddai’n ei dewis, a darllenwch y rhyngwyneb yn yr ateb:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Os yw’r chwiliad yn adrodd y porth a’r rhyngwyneb LAN, mae’r goes gyntaf wedi’i chyflunio fel y bwriadwyd. Os yw’n adrodd y ddyfais twnnel, mae rhywbeth cynharach yn y tabl yn fwy penodol ac yn ennill. Os na fydd y llwybr yn gosod o gwbl, mae’r cnewyllyn yn dweud wrthych nad yw’r porth yn gyrraeddadwy, ac mae’r neges honno’n fwy defnyddiol nag unrhyw ddal pecynnau.

Yna ailadroddwch y prawf o’r lle iawn. Mae cais a grëir ar y porth yn defnyddio cyfeiriad ffynhonnell y porth ei hun, a all guddio llwybr dychwelyd coll neu bolisi sy’n caniatáu ffynonellau penodol yn unig. Mae llawlyfr ip-route yn gwahanu cyrchfan, porth a’r gorwneud onlink, ac mae’r gorwneud yn werth ei ddeall cyn i chi ei ddefnyddio.

Peidiwch â defnyddio onlink i ffugio cyrraeddadwyedd

Mae onlink yn dweud wrth y cnewyllyn am hepgor y gwiriad cyrraeddadwyedd ar gyfer porth ac anfon ato beth bynnag. Nid yw’n creu llwybr, nid yw’n datrys ARP ar gyfer cyfeiriad nad yw yno, ac nid yw’n gwneud i lwybrydd pell ateb ar eich segment Ethernet. Mae’n ddilys ar gyfer pyrth sy’n ateb ond nad ydynt mewn is-rwydwaith gysylltiedig, ac mae’n fagl pan gaiff ei ddefnyddio i dawelu gwall na wnaethoch ei esbonio.

Os mai dim ond gyda onlink y mae’r llwybr yn gosod, y cwestiwn nesaf yw pam nad yw’r porth lle rydych chi’n meddwl ei fod. Mae VLAN anghywir, ail gyfeiriad ar y rhyngwyneb anghywir, neu gamgymeriad teip yn yr octet olaf i gyd yn cynhyrchu hyn, ac mae pob un ohonynt hefyd yn torri’r llwybr dychwelyd unwaith y bydd traffig yn dechrau llifo.

Nid yw twneli pwynt-i-bwynt yn Ethernet

Nid yw dyfais twnnel yn gwneud ARP ac yn aml nid oes ganddi is-rwydwaith ystyrlon o gymdogion. Mae ei lwybrau’n aml yn edrych fel 10.70.0.0/24 dev tun0, heb unrhyw via o gwbl, oherwydd y cymar yw’r unig ben arall. Mae copïo via ar ffurf LAN i’r tabl hwnnw’n cynhyrchu llwybr y gall y cnewyllyn ei wrthod neu, yn waeth, un sy’n pwyntio at gyfeiriad nad yw’r cymar byth yn ateb.

Cadwch y ddau fodel ar wahân yn y llawlyfr: mae gan lwybr LAN borth cyrraeddadwy, mae gan lwybr twnnel ryngwyneb a chymar. Mae WireGuard, OpenVPN ac IPsec i gyd yn dangos siapiau ychydig yn wahanol, felly cofnodwch y siâp a ddefnyddiwyd gennych mewn gwirionedd yn lle cyffredinoli o un gwesteiwr.

Ychwanegu, cadarnhau, dad-wneud

Tair gorchymyn ac un archwiliad yw’r newid cyfan, a dylid ei ysgrifennu yn y drefn honno:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Cadarnhewch y llwybr, cadarnhewch un gyrchfan, yna cadwch y llinell ddileu’n barod rhag ofn i’r newid wneud y gwesteiwr yn anghyrraeddadwy mewn ffordd na ragwelwyd gennych. Os oes rhaid i’r llwybr oroesi ailgychwyn, rhowch ef yng nghyfluniad rhwydwaith y gwesteiwr yn hytrach nag mewn proffil plisgyn, a phrofwch yr ailgychwyn cyn dibynnu arno. Mae llwybr sy’n bodoli dim ond yn y plisgyn a’i hychwanegodd yn llwybr y byddwch yn ei ddadfygio ddwywaith.