Η σήραγγα σηκώθηκε, διαδίκτυο δεν υπάρχει: πού σταματά η προώθηση

Ο πελάτης συνδέεται, η σήραγγα μεταφέρει ping στην πύλη και τίποτα πέρα από αυτήν δεν απαντά. Αυτή η κατάσταση είναι φυσιολογική για πύλη που προοριζόταν πάντα μόνο για πρόσβαση σε προστατευμένα δίκτυα και είναι βλάβη για πύλη που διαφημίζεται ως έξοδος πλήρους σήραγγας. Πριν αλλάξετε κανόνες, επιβεβαιώστε ποια υπηρεσία είχε υποσχεθεί. Στη συνέχεια ακολουθήστε ένα δημόσιο αίτημα στα τέσσερα σημεία όπου μπορεί να σταματήσει. Ένα αίτημα και μία καταγραφή πακέτων λύνουν περισσότερα από μια σελίδα εικασιών.

Επιβεβαιώστε αν η έξοδος στο διαδίκτυο ήταν ποτέ ο σχεδιασμός

Ένα προφίλ διαχωρισμένης σήραγγας δρομολογεί στο VPN μόνο τα προστατευμένα υποδίκτυα, οπότε η δημόσια περιήγηση συνεχίζεται μέσω της τοπικής ζεύξης και δεν αγγίζει ποτέ την πύλη. Ένα προφίλ πλήρους σήραγγας εγκαθιστά προεπιλεγμένη διαδρομή στη σήραγγα, που καθιστά την πύλη υπεύθυνη για ολόκληρη τη διαδρομή. Και τα δύο είναι νόμιμοι σχεδιασμοί, και η σύγχυσή τους παράγει αναφορά βλάβης εκεί όπου δεν υπάρχει. Διαβάστε τις διαδρομές που διαφημίζει ο πελάτης πριν δοκιμάσετε οτιδήποτε άλλο, γιατί ο πίνακας δρομολόγησης απαντά στην ερώτηση που το δελτίο συνήθως θέτει λάθος.

Αυτό που εγκαθιστά ο πελάτης δεν είναι πάντα αυτό που σκοπεύει το προφίλ. Μια ωθημένη διαδρομή μπορεί να υπερισχυθεί από τοπική διαδρομή με χαμηλότερη μετρική, και ένας πελάτης που κρατά τη διαδρομή LAN ενώ προσθέτει προεπιλεγμένη διαδρομή συμπεριφέρεται σαν διαχωρισμένη σήραγγα για εκείνο το υποδίκτυο.

Ακολουθήστε ένα δημόσιο αίτημα

Επιλέξτε έναν προορισμό και ακολουθήστε τον από τον πελάτη προς τα έξω. Στον πελάτη ελέγξτε αν το πακέτο επιλέγει πραγματικά τη σήραγγα και ποια τοπική διεύθυνση χρησιμοποιεί ως πηγή. Στη συνέχεια ελέγξτε την πύλη: φτάνει το πακέτο και φεύγει από τη δημόσια διεπαφή. Κάθε μία από αυτές τις απαντήσεις αφαιρεί μια ολόκληρη κατηγορία αιτίας.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Αν η πύλη δεν βλέπει ποτέ το πακέτο, η διαδρομή του πελάτη ή η επιλογή σήραγγας είναι λάθος. Αν φτάνει και δεν φεύγει, το πρόβλημα είναι στην πύλη και ισχύουν οι τρεις υπόλοιποι έλεγχοι.

Ελέγξτε προώθηση, διαδρομή και μετάφραση

Ο οδηγός προώθησης που συνοδεύει το strongSwan ισχύει για πύλη κάθε τύπου σήραγγας: ο πυρήνας πρέπει να επιτρέπεται να μετακινεί πακέτα μεταξύ διεπαφών, και μια χρησιμοποιήσιμη διαδρομή πρέπει να δείχνει προς το διαδίκτυο. Η πολιτική του τείχους προστασίας πρέπει μετά να επιτρέπει την κίνηση, και η διεύθυνση πηγής πρέπει να είναι μία στην οποία η δημόσια πλευρά μπορεί να απαντήσει. Μια ιδιωτική διεύθυνση πελάτη που προωθείται αναλλοίωτη στο διαδίκτυο δεν λαμβάνει ποτέ απάντηση.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Η μετάφραση πηγής είναι το συνηθισμένο κομμάτι που λείπει. Με αυτήν η πύλη ξαναγράφει την πηγή του πελάτη στη δημόσια διεύθυνσή της και παρακολουθεί τη ροή· χωρίς αυτήν η απάντηση δεν έχει πού να πάει. Οι πλατφόρμες νέφους προσθέτουν ένα δεύτερο όριο, όπου ο πίνακας δρομολόγησης ή η ομάδα ασφαλείας του στιγμιοτύπου μπορεί να απορρίψει κίνηση που επιτρέπει το τείχος προστασίας του φιλοξενουμένου. Αυτό το όριο είναι εύκολο να χαθεί, γιατί το σύστημα του φιλοξενουμένου φαίνεται σωστά ρυθμισμένο από μέσα.

Το φιλτράρισμα αντίστροφης διαδρομής σε ασύμμετρη διάταξη μπορεί επίσης να απορρίψει έγκυρα πακέτα. Διαβάστε τον μετρητή αυτού του κανόνα αντί να υποθέσετε ότι είναι εντάξει, γιατί μια αυστηρή ρύθμιση στη δημόσια διεπαφή απορρίπτει κίνηση που φτάνει από άλλη διαδρομή από αυτήν που προβλέπει ο πίνακας δρομολόγησης.

Η διαδρομή απάντησης και ο επιλυτής είναι δύο διαφορετικές απαντήσεις

Παρατηρήστε και την απάντηση, όχι μόνο το αίτημα. Αν το αίτημα βγαίνει μεταφρασμένο και η απάντηση επιστρέφει στη μεταφρασμένη ροή, η προώθηση λειτουργεί ακόμα και όταν η εφαρμογή εξακολουθεί να αποτυγχάνει, και η επόμενη έρευνα ανήκει στην εφαρμογή ή στο DNS.

Ένας ιστότοπος που επιστρέφει σφάλμα HTTP είναι απόδειξη ότι η προώθηση στο διαδίκτυο λειτουργεί. Ένα όνομα που δεν επιλύεται ενώ η πρόσβαση με διεύθυνση λειτουργεί είναι πρόβλημα επιλυτή, όχι πρόβλημα NAT.

Μετά από μια στενή διόρθωση, ελέγξτε ξανά τον πελάτη και κάθε σκόπιμα περιορισμένο ιδιωτικό πόρο. Η παροχή πρόσβασης στο διαδίκτυο δεν πρέπει να διευρύνει σιωπηλά την πρόσβαση σε κάθε δίκτυο συνδεδεμένο με την πύλη.