VPN-lüüs vajab IP-edastust: mida kontrollida

Teie klient saab lüüsi aadressile pingida, samal ajal kui kõik ressursid selle taga jäävad kättesaamatuks. See vaatluspaar kirjeldab hosti, kes räägib teiega, ja ruuterit, mis ei marsruudi, mis on samas masinas erinevad rollid. Edastus on nendevaheline lüliti.

Need kaks rolli on sõltumatud, nagu ka kaks aadressiperekonda.

Omal aadressil vastamine ei tõesta midagi

Kui pakett on adresseeritud lüüsile endale, tarbib kohalik virn selle ära ja edastusotsust ei tehta. Seetõttu ütleb edukas ping tunneliaadressile või haldusliidesele, et deemon on elus ja tunnel püsti, kuid ei ütle midagi liikluse kohta, mis on mõeldud kasti taga olevale võrgule. Kernel vaatab oma edastusteed ainult pakettide puhul, mis ei ole talle adresseeritud.

Lugege nõuet rollina, mitte seadena: see host peab pakette kahe liidese vahel liigutama. Sülearvuti, millel on vaja ainult kaugvõrku jõuda, ei võta seda rolli kunagi, ja sait-sait-lõpp-punkt võtab selle alati. Nõude selline lugemine selgitab, miks töötav kliendikonfiguratsioon ebaõnnestub, kui see lüüsile üle viia.

Sama lause kehtib edastusotsuse ees oleva tulemüüri kohta, millel on oma poliitika selle kohta, mida tohib edastada.

Kontrollige iga aadressiperekonda eraldi

IPv4 edastus on üks lüliti ja IPv6 edastus on teine, millel on oma käitumine liidese kohta. Esimese sisselülitamine ei ütle teise kohta midagi ja kahe virnaga klient võib jõuda poolde võrku, samal ajal kui ülejäänu jääb pimedaks. Seetõttu võivad kaks erineva perekonna klienti sama lüüsi suhtes eriarvamusel olla. Küsige, millist perekonda ebaõnnestunud klient kasutas, enne kui muudate kumbagi seadet. Kinnitage mõlemad, enne kui järeldate, et marsruutimise disain on vale.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Paljudes distributsioonides on tööajal loetud väärtuse sinna pannud teenus või konfiguratsioonifail, nii et ühekordse käsuga tehtud muudatus võib taaskäivitamisel kaduda. Leidke fail, millele see seade kuulub, enne kui muudate tööväärtust.

Edastus on üks neljast nõudest

Töötav edastatud voog vajab korraga nelja asja: klient peab teadma, et sihtkoht on tunneli taga, lüüsil peab olema edasine marsruut, vastustel peab olema tagasitee ja tulemüür peab liiklust lubama. Lähteallika tõlkimine kuulub selle disaini juurde valikuna, mitte reeglina, sest sümmeetriliste teedega privaatne marsruuditud võrk ei vaja seda ja asümmeetriline vajab tavaliselt. Igaüks neist neljast ebaõnnestub iseseisvalt, mistõttu ühe parandamine harva sümptomit muudab. Kirjutage kõik neli üles, enne kui ühtegi neist muudate.

Pilveplatvormid lisavad viienda kaalutluse. Mõned rakendavad instantsidel allika- ja sihtkontrolli, mis viskab edastatud paketid kõrvale sõltumata sellest, kuidas külalise kernel on seadistatud. Seal on autoriteet platvormi enda võrgu dokumentatsioon, mitte VM-i sees olev sysctl-väljund.

Testige kliendist, mitte lüüsist

Lüüsi enda kestas käivitatud test ei läbi ühtegi osa edastusteest, mille te just lubasite. Tekitage liiklus kliendist, kellel on probleem, ja kinnitage, et see jõuab millenigi lüüsi taga, mitte lüüsi endani. See on ainus test, mis harjutab rolli, mida te muutsite.

Hoidke kuulaja reeglid ja edastusreeglid mõttes ja muudatuste logis lahus. VPN-pordi avamine laseb kliendid teenusesse; see ei anna neile midagi selle taga olevas võrgus ja aastate jooksul kasvanud tulemüüri loendis näevad need kaks ühesugused välja.

Kui paketid saabuvad ja teenus seejärel kasutaja tagasi lükkab, olete võrgustikust mööda liikunud. Jätkake rakenduse autoriseerimisega, selle asemel et edastuspoliitikat uuesti laiendada.