VPN-enirejo bezonas IP-plusendadon: kion kontroli

Via kliento povas pingi la adreson de la enirejo dum ĉiu resurso malantaŭ ĝi restas neatingebla. Tiu paro da observoj priskribas gastiganton, kiu parolas al vi, kaj enkursigilon, kiu ne enkursigas, do malsamaj roloj sur la sama maŝino. Plusendado estas la ŝaltilo inter ili.

La du roloj estas sendependaj, kaj same la du adresfamilioj.

Respondi al sia propra adreso pruvas nenion

Kiam paketo estas adresita al la enirejo mem, la loka stako konsumas ĝin kaj neniu plusenda decido okazas. Tial sukcesa ping al la tunela adreso aŭ al administra interfaco diras al vi, ke la demono vivas kaj la tunelo funkcias, sed diras nenion pri trafiko destinita al reto malantaŭ la skatolo. La kerno konsultas sian plusendan vojon nur por paketoj ne adresitaj al ĝi.

Legu la postulon kiel rolon, ne kiel agordon: ĉi tiu gastiganto devas movi paketojn inter du interfacoj. Tekkomputilo, kiu nur bezonas atingi malproksiman reton, neniam prenas tiun rolon, kaj finpunkto de ejo-al-ejo ĉiam prenas ĝin. Tia legado de la postulo klarigas, kial funkcianta klienta agordo malsukcesas, kiam ĝi estas transigita al enirejo.

La sama frazo validas por la fajroŝirmilo antaŭ la plusenda decido, kiu havas sian propran politikon pri tio, kio rajtas esti plusendita.

Kontrolu ĉiun adresfamilion aparte

Plusendado de IPv4 estas unu ŝaltilo, kaj plusendado de IPv6 estas alia kun sia propra konduto laŭ interfaco. Ŝalti la unuan diras nenion pri la dua, kaj dukolona kliento povas atingi duonon de reto dum la resto restas malluma. Du klientoj de malsamaj familioj povas do malkonsenti pri la sama enirejo. Demando, kiun familion la malsukcesa kliento uzis, antaŭ ol vi redaktos ajnan agordon. Konfirmu ambaŭ antaŭ ol konkludi, ke la enkursiga dezajno estas malĝusta.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

En multaj distribuaĵoj la valoro, kiun vi legas dum funkciado, estis metita tien de servo aŭ agorda dosiero, do ŝanĝo farita per unufoja komando povas malaperi ĉe restartigo. Trovu la dosieron, kiu posedas la agordon, antaŭ ol vi redaktos la funkcian valoron.

Plusendado estas unu el kvar postuloj

Funkcianta plusendita fluo bezonas kvar aferojn samtempe: la kliento devas scii, ke la celo estas malantaŭ la tunelo, la enirejo devas havi vojon antaŭen, respondoj devas havi vojon reen, kaj la fajroŝirmilo devas permesi la trafikon. Fonto-tradukado apartenas al tiu dezajno kiel opcio, ne kiel regulo, ĉar privata enkursigita reto kun simetriaj vojoj ne bezonas ĝin kaj nesimetria kutime bezonas. Ĉiu el la kvar malsukcesas sendepende, kaj tial ripari unu malofte movas la simptomon. Skribu ĉiujn kvar antaŭ ol vi ŝanĝos ajnan el ili.

Nubaj platformoj aldonas kvinan konsideron. Iuj trudas kontrolojn de fonto kaj celo sur instancoj, kio forĵetas plusenditajn paketojn sendepende de tio, kiel la kerno de la gasto estas agordita. La propra reta dokumentaro de la platformo estas la aŭtoritato tie, ne la sysctl-eligo ene de la VM.

Testu de la kliento, ne de la enirejo

Testo lanĉita en la propra ŝelo de la enirejo trapasas neniun parton de la plusenda vojo, kiun vi ĵus ebligis. Generu la trafikon de la kliento, kiu havas la problemon, kaj konfirmu, ke ĝi atingas ion malantaŭ la enirejo anstataŭ la enirejon mem. Tio estas la sola testo, kiu ekzercas la rolon, kiun vi ŝanĝis.

Tenu aŭskultantajn regulojn kaj plusendajn regulojn aparte en via kapo kaj en la ŝanĝregistro. Malfermi la VPN-pordon enlasas klientojn al la servo; ĝi donas al ili nenion en la reto malantaŭ ĝi, kaj la du aspektas identaj en fajroŝirmila listo, kiu kreskis dum jaroj.

Se paketoj alvenas kaj la servo tiam rifuzas la uzanton, vi jam preterpasis retadon. Daŭrigu per aplikaĵa rajtigo anstataŭ denove larĝigi la plusendan politikon.