OpenVPN bezero zubidunek ez dute internetik? Egiaztatu NAT araua

Zubidun zerbitzaria martxan dago, masquerade araua han dago, eta bezeroaren nabigatzailea oraindik bueltaka dabil. Dena behar bezala funtzionatu beharko lukeela dirudi, eta horregatik joaten da lehen ordua tunela eta kredentzialak egiaztatzera. Ondoren NAT arauaren kontagailua irakurtzen duzu eta ez den zero bat aurkitzen duzu. Inoiz paketerik zenbatu ez duen arau bat ez da inoiz batekin bat etorri, eta zubidun zerbitzari batean arrazoia egiturazkoa da: bezeroaren trafikoa tap gailu birtualetik irteten da, arauak ordea gida zaharragotik kopiatu zenuen txartel fisikoa aipatzen duen bitartean.

Kontagailua da froga, ez taulako lerroa

Existitzen diren arauak eta bat datozen arauak gauza desberdinak dira, eta kontagailuak bereizten ditu. Zerrendatu NAT taula kontagailu zehatzekin eta irakurri arau bakoitzaren ondoan dauden zenbakiak ezer aldatu aurretik. Trafikoa isurtzen ari den bitartean zeroan geldituta dagoen kontagailuak araua saltatu zela esan nahi du, bere helbideak zenbat arrazoizkoak diruditen ere. Konexioak huts egiten jarraitzen duen bitartean igotzen den kontagailuak beste toki batera bidaltzen zaitu: birbidalketa, itzulbidea edo urruneko muturra.

iptables -t nat -L POSTROUTING -v -n

Irakurri lehenengo interfazearen bat-etortzearen ondoko kontagailua. Iturburu-barrutia zuzena bada eta irteerako aldea okerra bada, konponketa arauko hitz bat da, ez arau guztiz berria.

Aurkitu kernelak benetan erregistratzen duen izena

Identifikatu tunelaren gailua izenez araua idatzi aurretik, interfazeen zerrenda erabiliz, memoriaren ordez. Zubidun OpenVPN instalazio batean gailua zerbitzariak sortutako tap interfazea izan ohi da, eta haren izena zure tokiko konfigurazioaren parte da, ez da konstante unibertsala. Egiaztatu badagoela tunela martxan dagoen bitartean, bezero bat konektatu ondoren soilik agertzen den gailu batek lehenagoko proba arau-arazo bat bailitzan erakutsiko baitu.

ip -brief link

Idatzi izena. Diagnostiko honetako hurrengo komando bakoitzak hura aipatzen du, eta hemen egindako akats batek jatorrizko akatsaren kontagailu zero bera sortzen du.

Berridatzi araua tunelaren gailuaren aurka

Zuzendu araua tunelaren gailura eta mantendu bezeroen barrutia bat-etortze baldintza gisa, modu horretan tunelaren trafikoa estal dezan eta hostaren beraren konexioei bakean utz diezaien. Ordeztu zure barrutia eta gailuaren izena, beheko bi adibideak adibideak baitira eta bat ere ez baita instalazioen artean eramangarria.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Ondoren egiaztatu sintoma berak ezkutatzen dituen beste bi baldintzak. Egiaztatu birbidalketa gaituta dagoen eta, ez badago, gaitu banaketaren beraren konfigurazioan, berrabiaraztean desagertzen den echo batekin egin beharrean. Irakurri forward katearen kontagailuak ere, eta tunelaren trafikoa botatzen badu, baimendu interfaze hori zehazki eta utzi katearen politika ukitu gabe.

Forward katea kontagailuekin irakurtzeak komando bat besterik ez du behar eta gainerako aukeren erdia baztertzen du beste arau bat ukitu aurretik.

Zergatik ez da inoiz bat etortzen txartel fisikoa

Zubi bat software-konmutagailu bat da, tap gailuak eta interfaze fisiko batek osatua. Bezeroaren markoa konmutagailu horretan sartzen da eta sare fisikoaren aldera irteten da, zubiaren kide gisa, ez txartelean dagoen pakete gisa. Horregatik egozten dio kernelak paketea zubiari eta haren atakari, eta horregatik ez da inoiz bat-etortzean agertzen pentsatzen ari zinen txartela. Interfaze fisikoan ez dago ezer hondatuta; besterik gabe, ez da kernelak pakete horri egozten dion gailua.

Jendeak gero topatzen duen hurrengo arazoa egitura beretik dator: zubi batean markoen iragazketa IP iragazketatik bereizitako mekanismoa da. Baldintza marko mailako murrizketa bada, zubiaren iragazketari dagokio, ez IP taulako arau bati.

Frogatu hasieratik bukaeraraino eta gero egin iraunkor

Jarri bezero bakarra martxan eta egin ping zerbitzariaren LANeko zerbaiti; bide horrek birbidalketa probatzen du itzulpenik gabe. Ondoren eskatu zerbait publikoa masquerade araua erabili behar izateko, eta irakurri kontagailua berriro: proba honetarako mugitu behar du, aurrekoarentzat ez. Tunelaren gailuan hartutako kapturak erakusten du non agertzen den markoa eta zein helbide daraman.

Azken urratsa: jarri funtzionatzen duten arauak berrabiarazteak irakurtzen duen konfigurazioan, eta idatzi host honen zubiak benetan erabiltzen duen gailuaren izena. Eskuz idatzitako edozer desagertu egiten da berrabiarazi ondoren, eta hutsegite bera itzultzen da azal dezakeen ezer gabe.

Berridatzi ondoren kontagailua oraindik mugitzen ez bada, alderatu arauko iturburu-barrutia bezeroak benetan jaso zuen helbidearekin, zubi bateko zerbitzariak asmo ez zenituen barruti bateko helbideak eman baititzake.