Η πύλη VPN χρειάζεται προώθηση IP: τι να ελέγξετε

Ο πελάτης σας μπορεί να κάνει ping στη διεύθυνση της πύλης ενώ κάθε πόρος πίσω της παραμένει μη προσβάσιμος. Αυτό το ζεύγος παρατηρήσεων περιγράφει έναν κεντρικό υπολογιστή που σας μιλά και έναν δρομολογητή που δεν δρομολογεί, δηλαδή δύο διαφορετικούς ρόλους στο ίδιο μηχάνημα. Η προώθηση είναι ο διακόπτης ανάμεσά τους.

Οι δύο ρόλοι είναι ανεξάρτητοι, όπως και οι δύο οικογένειες διευθύνσεων.

Η απάντηση στη δική του διεύθυνση δεν αποδεικνύει τίποτα

Όταν ένα πακέτο απευθύνεται στην ίδια την πύλη, η τοπική στοίβα το καταναλώνει και δεν λαμβάνεται απόφαση προώθησης. Γι' αυτό ένα επιτυχές ping στη διεύθυνση του τούνελ ή σε μια διεπαφή διαχείρισης σας λέει ότι ο δαίμονας είναι ζωντανός και το τούνελ είναι ενεργό, χωρίς να λέει τίποτα για κίνηση που προορίζεται για δίκτυο πίσω από το κουτί. Ο πυρήνας συμβουλεύεται τη διαδρομή προώθησης μόνο για πακέτα που δεν απευθύνονται σε αυτόν.

Διαβάστε την απαίτηση ως ρόλο, όχι ως ρύθμιση: αυτός ο κεντρικός υπολογιστής πρέπει να μετακινεί πακέτα μεταξύ δύο διεπαφών. Ένας φορητός υπολογιστής που χρειάζεται μόνο να φτάσει σε απομακρυσμένο δίκτυο δεν αναλαμβάνει ποτέ αυτόν τον ρόλο, ενώ ένα τελικό σημείο τοποθεσίας-σε-τοποθεσία τον αναλαμβάνει πάντα. Η ανάγνωση της απαίτησης έτσι εξηγεί γιατί μια λειτουργική διαμόρφωση πελάτη αποτυγχάνει όταν μεταφερθεί σε πύλη.

Η ίδια φράση ισχύει για το τείχος προστασίας μπροστά από την απόφαση προώθησης, το οποίο έχει τη δική του πολιτική για το τι επιτρέπεται να προωθείται.

Ελέγξτε κάθε οικογένεια διευθύνσεων ξεχωριστά

Η προώθηση IPv4 είναι ένας διακόπτης, και η προώθηση IPv6 είναι άλλος, με δική του συμπεριφορά ανά διεπαφή. Η ενεργοποίηση του πρώτου δεν λέει τίποτα για τον δεύτερο, και ένας πελάτης διπλής στοίβας μπορεί να φτάσει το μισό δίκτυο ενώ το υπόλοιπο μένει σκοτεινό. Δύο πελάτες διαφορετικών οικογενειών μπορούν επομένως να διαφωνούν για την ίδια πύλη. Ρωτήστε ποια οικογένεια χρησιμοποίησε ο πελάτης που αποτυγχάνει πριν επεξεργαστείτε οποιαδήποτε από τις δύο ρυθμίσεις. Επιβεβαιώστε και τις δύο πριν συμπεράνετε ότι ο σχεδιασμός δρομολόγησης είναι λάθος.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Σε πολλές διανομές, η τιμή που διαβάζετε κατά την εκτέλεση τοποθετήθηκε εκεί από κάποια υπηρεσία ή αρχείο διαμόρφωσης, οπότε μια αλλαγή που έγινε με εντολή μιας χρήσης μπορεί να εξαφανιστεί στην επανεκκίνηση. Βρείτε το αρχείο που κατέχει τη ρύθμιση πριν επεξεργαστείτε την τιμή εκτέλεσης.

Η προώθηση είναι μία από τέσσερις απαιτήσεις

Μια λειτουργική προωθούμενη ροή χρειάζεται τέσσερα πράγματα ταυτόχρονα: ο πελάτης πρέπει να γνωρίζει ότι ο προορισμός βρίσκεται πίσω από το τούνελ, η πύλη πρέπει να έχει διαδρομή προς τα εμπρός, οι απαντήσεις πρέπει να έχουν διαδρομή επιστροφής, και το τείχος προστασίας πρέπει να επιτρέπει την κίνηση. Η μετάφραση προέλευσης ανήκει σε αυτόν τον σχεδιασμό ως επιλογή και όχι ως κανόνας, επειδή ένα ιδιωτικό δρομολογημένο δίκτυο με συμμετρικές διαδρομές δεν τη χρειάζεται και ένα ασύμμετρο τη χρειάζεται συνήθως. Κάθε ένα από τα τέσσερα αποτυγχάνει ανεξάρτητα, γι' αυτό η επισκευή ενός σπάνια μετακινεί το σύμπτωμα. Γράψτε και τα τέσσερα πριν αλλάξετε οποιοδήποτε από αυτά.

Οι πλατφόρμες cloud προσθέτουν μια πέμπτη σκέψη. Μερικές επιβάλλουν ελέγχους προέλευσης και προορισμού στα στιγμιότυπα, κάτι που απορρίπτει τα προωθούμενα πακέτα ανεξάρτητα από το πώς είναι διαμορφωμένος ο πυρήνας του φιλοξενούμενου. Η τεκμηρίωση δικτύωσης της ίδιας της πλατφόρμας είναι η αρχή εκεί, όχι η έξοδος του sysctl μέσα στο VM.

Δοκιμάστε από τον πελάτη, όχι από την πύλη

Μια δοκιμή που εκτελείται στο ίδιο το κέλυφος της πύλης δεν διασχίζει κανένα τμήμα της διαδρομής προώθησης που μόλις ενεργοποιήσατε. Δημιουργήστε την κίνηση από τον πελάτη που έχει το πρόβλημα και επιβεβαιώστε ότι φτάνει σε κάτι πίσω από την πύλη και όχι στην ίδια την πύλη. Αυτή είναι η μόνη δοκιμή που ασκεί τον ρόλο που αλλάξατε.

Κρατήστε τους κανόνες ακρόασης και τους κανόνες προώθησης ξεχωριστούς στο μυαλό σας και στο αρχείο αλλαγών. Το άνοιγμα της θύρας VPN επιτρέπει στους πελάτες να μπουν στην υπηρεσία· δεν τους δίνει τίποτα στο δίκτυο πίσω από αυτήν, και τα δύο φαίνονται ίδια σε μια λίστα τείχους προστασίας που έχει μεγαλώσει για χρόνια.

Αν τα πακέτα φτάνουν και η υπηρεσία απορρίπτει τον χρήστη, έχετε περάσει πέρα από τη δικτύωση. Συνεχίστε με την εξουσιοδότηση εφαρμογής αντί να διευρύνετε ξανά την πολιτική προώθησης.