Οι πελάτες LAN αγνοούν το VPN του router μέχρι να ενεργοποιηθεί η δρομολόγηση πολιτικής

Ο router φτάνει στο διαδίκτυο μέσω της σήραγγάς του, ενώ ένας φορητός υπολογιστής πίσω του εξακολουθεί να αναφέρει τη διεύθυνση του ISP. Η προσθήκη κανόνων αποδοχής δεν βοηθά, και αυτή η αποτυχία είναι διδακτική: το φιλτράρισμα απαντά αν ένα πακέτο επιτρέπεται να περάσει, όχι πού πηγαίνει. Η επιλογή διεπαφής έχει ήδη γίνει από μια αναζήτηση δρομολόγησης που δεν ξέρει τίποτα για τη λίστα πελατών σου. Διόρθωσε την αναζήτηση και το τείχος προστασίας παύει να είναι ύποπτο.

Ένας κανόνας φίλτρου δεν μπορεί να επιλέξει διεπαφή

Η ροή πακέτων σε έναν router Linux εκτελεί πρώτα την απόφαση δρομολόγησης και μετά το άγκιστρο forward. Όταν ένας κανόνας ταιριάξει με την εξερχόμενη συσκευή σήραγγας, ο πυρήνας έχει ήδη αποφασίσει ότι η σήραγγα είναι η έξοδος. Αν ο κύριος πίνακας εξακολουθεί να προτιμά την προεπιλεγμένη διαδρομή WAN, το πακέτο κατευθύνεται προς τον ISP και ο κανόνας αποδοχής που μόλις έγραψες δεν το βλέπει ποτέ. Αυτό το ένα γεγονός σειράς εξηγεί γιατί μια σελίδα νέων κανόνων τείχους προστασίας δεν αλλάζει τίποτα.

Το παρακάτω παράδειγμα χρησιμοποιεί ένα LAN 192.168.8.0/24 στο br-lan, μια συσκευή σήραγγας tun0 και ένα set-top box στο 192.168.8.23 που θα πρέπει να χρησιμοποιεί τη σήραγγα.

Διάβασε την αναζήτηση πριν επεξεργαστείς κανόνες

Ζήτησε από τον πυρήνα να επιλύσει μια διαδρομή για λογαριασμό αυτού του πελάτη. Η απάντηση περιλαμβάνει την εξερχόμενη συσκευή και τη διεύθυνση προέλευσης που θα επιλεγόταν, και αυτά είναι όλα όσα χρειάζεσαι για να επιβεβαιώσεις τη διάγνωση. Αν η απάντηση ονομάζει τη συσκευή WAN, το πακέτο δεν είχε ποτέ πιθανότητα να φτάσει στον κανόνα σου.

ip -4 route get 198.51.100.7 from 192.168.8.23

Επανάλαβε το ερώτημα για έναν πελάτη που πρέπει να μείνει στην κανονική διαδρομή. Όταν και οι δύο απαντήσεις ονομάζουν την ίδια συσκευή, δεν υπάρχει ακόμη πολιτική ανά προέλευση, και η διόρθωση ανήκει στη δρομολόγηση και όχι στο φιλτράρισμα.

Σύνδεσε έναν πίνακα με τους πελάτες που θέλεις να καλύψεις

Η δρομολόγηση πολιτικής εισάγει μια αναζήτηση κανόνων πριν από τον κύριο πίνακα. Χτίσε έναν πίνακα του οποίου η προεπιλεγμένη διαδρομή είναι η σήραγγα και μετά σύνδεσε αυτόν τον πίνακα με έναν επιλογέα: μια διεπαφή εισόδου, μια διεύθυνση προέλευσης ή ένα σημάδι τείχους προστασίας. Οι προτεραιότητες καθορίζουν τη σειρά, και ο κύριος πίνακας βρίσκεται πολύ χαμηλά στη λίστα στο 32766, οπότε ένας κανόνας με μικρό αριθμό εξετάζεται πρώτος. Οι επιλογείς διεπαφής καλύπτουν κάθε πελάτη στη γέφυρα· οι επιλογείς διεύθυνσης καλύπτουν ένα μηχάνημα.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Οι διεπαφές firmware συνήθως εκθέτουν τα ίδια αντικείμενα με μια σελίδα δρομολόγησης πολιτικής ή πολιτικής VPN. Μια λίστα συσκευών εκεί είναι ευκολότερη στη συντήρηση από χειρόγραφους κανόνες και συνήθως επιβιώνει από αναβαθμίσεις που αλλάζουν τη σύνταξη των κανόνων.

Διάλεξε τον επιλογέα σκόπιμα. Ένας κανόνας διεπαφής είναι σύντομος και ανθεκτικός στο μέλλον, αλλά πιάνει και την ίδια τη διαχειριστική κίνηση του router που φτάνει σε αυτή τη γέφυρα. Ένας κανόνας προέλευσης είναι ακριβής και χρειάζεται επεξεργασία όποτε αλλάζει η λίστα συσκευών. Γράψε την επιλογή, γιατί θα τη χρειαστεί ο επόμενος που θα ρωτήσει γιατί μια συσκευή συμπεριφέρεται διαφορετικά.

Κράτησε τους τοπικούς προορισμούς έξω από τη σήραγγα

Ένας νέος πίνακας ξέρει μόνο τις διαδρομές που βάζεις μέσα του. Το πρόθεμα LAN λείπει, οπότε η κίνηση του εκτυπωτή και του NAS θα ακολουθούσε την προεπιλεγμένη διαδρομή της σήραγγας και θα εξαφανιζόταν. Μια διαδρομή throw τελειώνει την αναζήτηση σε αυτόν τον πίνακα και επιστρέφει την απόφαση στον κύριο πίνακα.

ip -4 route add throw 192.168.8.0/24 table 200

Αν παραλείψεις αυτή τη διαδρομή, οι τοπικοί κοινόχρηστοι πόροι σπάνε, και η ίδια η διαχειριστική συνεδρία του router μπορεί να χαθεί αν ο επιλογέας είναι ευρύτερος από το προβλεπόμενο. Μετά ξεκαθάρισε το ζήτημα της προέλευσης: τα πακέτα σήραγγας που εξακολουθούν να φέρουν διευθύνσεις LAN χρειάζονται την άλλη πλευρά να γνωρίζει διαδρομή επιστροφής, ενώ το masquerading στη σήραγγα αφαιρεί αυτή την απαίτηση και αφαιρεί επίσης την ταυτότητα του πελάτη που θα έβλεπε η άλλη πλευρά.

Κανόνες και διαδρομές που προστίθενται κατά την εκτέλεση χάνονται μετά από επανεκκίνηση ή ενημέρωση firmware. Πρόσθεσέ τα στον μηχανισμό εκκίνησης του router, επανεκκίνησε μία φορά και δοκίμασε ξανά από τον πελάτη: τη δημόσια διεύθυνσή του, έναν δεύτερο πελάτη που πρέπει να μείνει στο WAN και τους μετρητές της σήραγγας κατά τη διάρκεια μιας νέας σύνδεσης.