OpenVPNi LAN-juurdepääs katki? Kontrolli tsoone, marsruute ja tagasiteed

Tunnel teatab õnnestunud ühendusest, ruuteri enda leht laadib, ja selle taga olevale masinale tehtud kettakaardistus aegub ikka. Selles kombinatsioonis pole midagi vastuolulist: ruuter vastab iseendana, ja millegi taga oleva kättesaamine on teine otsus, mis tehakse teises kohas. Käi allolevad kontrollid järjekorras läbi ja peatu esimese tõrke juures, sest igaüks toetub eelmisele. Kui kõik neli läbivad, on viga tunneli kohal, mitte selles.

Milline filter näeb LAN-i suunatud paketti

Ruuterile adresseeritud pakett tarbitakse kohapeal; selle taga olevale hostile adresseeritud pakett tuleb edasi edastada, ja tulemüürid hindavad neid kahte juhtu eraldi. Luba ruuterini jõuda ei ütle seega midagi loa kohta sellest läbi minna. Püsivara, mis oma reeglistikke peidab, rakendab siiski mõlemat, tavaliselt valijana, mis pakub LAN-i, internetti või mõlemat. Kui valija jätab LAN-i välja, ei loe ükski hilisem kontroll.

OpenWrt teeb selle jaotuse uuritavaks ja vahe on väärt ühekordset lugemist. Tsoon, mis tunneli lõpetab, vajab LAN-i tsooni suunatud edastusreeglit, samas kui sisendreegel reguleerib ainult ruuteril endal töötavaid teenuseid. Töötav haldusleht surnud LAN-i kõrval on selle puuduva edastusreegli tavaline tulemus.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Vaata tunneli kandva tsooni edastussihtmärki: accept on see, mida redel vajab, ja reject selgitab kõiki allolevaid aegumisi. Kaks naabruses olevat seadet tekitavad sama sümptomi, seega välista need siin olles. Traadita isolatsioon peidab juhtmega hostid traadita klientide eest, ja ruuter, mis kohtleb jõudeolevaid LAN-i hoste võrguühenduseta, võib vastused ära visata ka pärast seda, kui edastus töötab.

Miks jaotatud tunnel vajab lükatud prefiksit

Klient, kes saadab kogu liikluse läbi tunneli, hoiab LAN-i prefiksit juba oma vaikemarsruudiga, seega pole midagi lisada. Jaotatud tunnel on juhtum, mis nõuab prefiksi selgesõnalist märkimist, sest miski muu konfiguratsioonis ei maini seda. Lisa direktiiv serveri konfiguratsiooni ja laadi teenus uuesti.

push "route 192.168.50.0 255.255.255.0"

Profiilid, mis sisaldavad route-nopull eiravad lükatud marsruute, seega kuulub sama prefiks hoopis kliendi faili. Igal juhul kinnita, et kirje saabus, selle asemel et seda eeldada, sest vaikne ülekirjutus näeb välja täpselt nagu tulemüüri probleem.

ip route show | grep 192.168.50

Saidi-saiti partner nõuab enamat kui lükkamine. Server peab teada saama, millised prefiksid on selle partneri taga, mida teeb rida iroute tema client-config-dir failis, ja tema enda tabel vajab tunnelisse sobivat marsruuti.

Vastus vajab aadressi, kuhu ta jõuab

Päringu edastamine on vaid pool vahetust, sest LAN-i host peab vastama tunneli pooli aadressile. Väikesed ruuterid korraldavad selle tavaliselt allika tõlkimisega tunneli tsoonis, nii et vastus on adresseeritud ruuterile ja ei vaja mujal konfiguratsiooni. Eemalda see tõlge ja host vajab oma marsruuti pooli, mille ta saab tasuta, kui ruuter on tema vaikelüüs. Käsitsi seatud aadressi ja teise lüüsiga host vastab hoopis selle lüüsi kaudu, ja klient näeb, kuidas seanss avaneb ja siis takerdub.

tcpdump -ni tun0 host 192.168.50.20

Käivita see ruuteril, samal ajal kui klient oma päringut kordab, ja loe vastuse sihtkohta, mitte päringut ennast. Pooli adresseeritud vastus tähendab, et tagasitee töötab ja viga on sügavamal. Vastuse täielik puudumine tähendab, et host ei võtnud paketti kunagi vastu, mis saadab sind tagasi reeglistiku juurde.

Redel, mis lõpeb õiges kohas

Neli kontrolli määravad kihi ja igaüks on üks käsk, mitte otsustus. Käivita need järjekorras ja peatu esimese tõrke juures. Järjekord on tähtsam kui käsud, sest hilisem läbitud samm varjab põhjuse, miks varasem ebaõnnestus.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Nimed kuuluvad redeli lõppu, mitte kunagi algusesse. Ühiskasutus, mis vastab kui 192.168.50.20, aga mitte kui nas.local, osutab nimelahendusele või otsingusufiksile, ja tulemüüri muudatused ei saa kumbagi muuta.

Märgi üles esimene ebaõnnestunud samm, seejärel anna teenuseportidele oma voor, sest kuulaja ja hosti luba on eraldi nõuded. Failijagamine, kaugtöölaud ja kaameravood vajavad mõlemat, ja hosti tulemüür, mis usaldab LAN-i alamvõrku, kuid mitte tunneli pooli, viskab kliendi välja, samal ajal kui ping ikka õnnestub. Kui kõik kontrollid läbivad ja rakendus ikka ebaõnnestub, on viga tunneli kohal: ühele liidesele seotud teenus või kliendil seadistatud puhverserver.