VPN ataka irekitzeak ez du bezeroak LANera iristen uzten

Tunela altxatzen da, bezeroak autentifikatu egiten da, baina atebidearen atzeko LANak ikusezin jarraitzen du. Konpondu behar zuen arauak VPN ataka uzten du eta idatzita dagoen bezala funtzionatzen du, arau horrek atebidera bertara zuzendutako paketeak arautzen baititu. Atebidearen atzeko ostalari baterako bezeroaren trafikoak beste helburu bat eta beste kate bat ditu. Saioa ongi hasten denean ez da aldatzen nukleoak zein kate kontsultatzen duen.

Bi kate, bi helburu desberdin

Pakete baten patua norantz doan erabakitzen da, ez nola iritsi den. Atebideko helbide batera doan trafikoa bertan entregatzen da eta sarrera-arauekin ebaluatzen da. Atebideak aurrera bidaltzen duen trafikoa birbidalketa-arauekin ebaluatzen da. Tunelaren interfaze berak bi pakete motak sor ditzake, beraz arau batek ezin ditu bi lanak estali.

Mito osoa esaldi batean: entzulea baimentzeak ez du ezer esaten atzean dagoen sarea baimentzeari buruz. Bi erabaki bereizi dira, froga bereiziekin, eta bien gaineko interfaze-izenak ez ditu batzen.

Zer onartzen duen benetan entzulearen arauak

Entzulearen paketeak VPN prozesuan amaitzen dira, eta horrek ahalbidetzen du tunela ezartzea. Atebidearen administrazio-orriak eta tokiko diagnostiko-erantzunak ere ostalariaren sarrera-bidea erabiltzen dute, horregatik atebidera egindako proba ongi ateratzen da atzean dagoen guztia huts egiten duen bitartean. Bi emaitzak zuzenak dira eta batek ere ez du LANari buruz hitz egiten.

Prozesuak beste helburu baterako bezeroaren trafikoa deskapsulatzen duenean, paketea birbidalketa-bidean sartzen da eta han baimena behar du. Autentifikazio onak bezeroa nor den erabakitzen du; ez du erabakitzen nora joan daitekeen. Bi galderak jabe desberdinak, erregistro desberdinak eta errore-mezu desberdinak dituzte.

Probatu bezero batetik, inoiz ez atebidetik

Atebidean sortutako probak ostalariaren irteera-bidea jarraitzen du eta pasa daiteke birbidalketa-bidea itxita dagoen bitartean. Hasi proba bezerotik eta begiratu fluxuaren bi muturrak.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Eskaera tun0-en agertzen bada eta ezer ez bada helburura iristen, paketea iritsi ondoren botatzen da, eta horrek birbidalketa-arauetara edo helburuaren beraren iragazketara eramaten du. tun0-n ezer agertzen ez bada, bezeroak ez du tunelera ere bidaltzen, eta arazoa bezeroaren bideratzean dago, ez atebidearen politikan. Konparatu zuzen ateratzen den eta ezer itzultzen ez duen eskaera batekin, itzulera-bidearen kasua dena.

Birbidalketak hiru gauza behar ditu, ez bat

Nukleoaren birbidalketa gaituta egon behar da, iragazki-arau batek fluxua onartu behar du, eta helburua irisgarria izan behar da erantzunak itzultzeko bide batekin. Hiruretako bat falta bada, isiltasuna bera da bezeroaren ikuspegitik.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Irakurri hiru irteerak elkarrekin. Lehenengoan zero batek beste biak garrantzirik gabe uzten ditu, eta bigarrenean baztertzeko politika lehenetsiak bezeroaren paketeak botatzen ditu atebidearen trafikoak lanean jarraitzen duen bitartean. Hirugarren irteerak erakusten du zergatik ez zen inoiz entzulearen araua arazoa izan.

Eduki bi arau-multzoak dokumentazioan bereizita

Idatzi entzulearen araua eta birbidalitako zerbitzuaren araua lerro bereizietan, jabe eta arrazoi bereiziekin. VPN ataka aldatzen denean edo zerbitzu berri bat argitaratzen denean, bereizketa horrek eragozten du aldaketa batek bestea isilean zabaltzea.

Autentifikatutako pare bakoitza LANeko kide fidagarritzat hartu beharrean, erabili arau estuagoak behar dituzten bezero-barrutietarako eta zerbitzuetarako. StrongSwanen birbidalketa-oharrek muga beraren itzulera-bidearen eta itzulpenaren aldea deskribatzen dute, hau da, hirugarren erabaki bat berriro.

Azkenik, eduki geruzak zuzen erabiltzailea baztertzen denean. Eskaera ostalarira iristen bada eta aplikazioak kontua baztertzen badu, konpondu aplikazioaren baimena geruza horretan; birbidalketa zabaltzeak ezin du fitxategi-partekatzeko kredentzialik eman eta beste guztientzako sarbidea zabalduko du ongi konektatzen direnentzat.