OpenVPN-era konektatuta baina ezer ez da kargatzen: ibilbidea bezeroaren aldetik kanpora

Bezeroaren leihoak Connected dio, tuneleko helbidea han dago, eta nabigatzailea oraindik bueltaka dabil. Konbinazio hori normala da, zeren esku-emate arrakastatsu batek tunela eraiki dela frogatzen du soilik; ez du ezer esaten zerbitzariak zure paketeak birbidaliko dituen, haien iturria berridatziko duen edo zure DNS kontsultei erantzungo dien. Gehienek egiten duten akatsa zerbitzariaren konfigurazioa lehenengo irekitzea da. Horren ordez, lan egin bezeroaren aldetik kanpora, beheko urrats bakoitzak hurrengoa aztertzea merezi duen esaten baitizue.

Hasi bezeroan eta joan kanpora

Egin hiru proba ordena honetan eta idatzi lehenengoa non huts egiten duen. Egin ping zerbitzariaren tuneleko helbidera, horrek tunelak berak trafikoa daramala frogatzen du. Egin ping helbide publiko batera zenbakiz, horrek birbidaltzea eta itzulpena frogatzen ditu izen-ebazpena sartu gabe. Gero saiatu ostalari-izen bat ebazten, hau da DNSa erabiltzen duen proba bakarra. Emaitza bakoitzak susmoetatik geruza oso bat kentzen du.

Ez egin jauzi hirugarren probara nabigatzaileak azkarragoa ematen duelako. Orri-karga huts batek hiru geruzak batera estaltzen ditu, eta hortik hasten dira pertsonak gero funtzionatzen zuen tunela berreraikitzen. Huts egiten duen orriak ez dizu esaten hiruretatik zein hautsi den.

Bi harrapaketak erakusten dute non gelditzen diren paketeak

Bezerotik helbide publiko batera ping bat martxan dagoela, egin harrapaketa bat tuneleko interfazean eta beste bat internetera iritsi behar duen goiko estekan. Exekutatu biak aldi berean, denbora-markak bat etor daitezen.

sudo tcpdump -ni tun0 -c 20 icmp
sudo tcpdump -ni enp1s0 -c 20 icmp

Eskaerak tunelean agertzen badira eta inoiz ez goiko estekan, zerbitzariak tunelaren eta kablearen artean bota ditu, eta arrazoia birbidaltzea edo birbidaltzeko suebakien politika da, ez NATa. Biak agertzen badira, zerbitzariak bere zatia egin du eta erantzuna falta da harago, eta horrek itzulpena, goragoko iragazkia edo hornitzailearen murrizketa adierazten du.

Hartu goiko estekaren izena bideratze-taulatik, ez tutorial batetik. Hodeiko irudiek eta berrizendatutako egokitzaileek gutxitan bat egiten dute gidaliburu bateko adibide-interfazearekin, eta gailu okerrean egindako harrapaketa ez birbidaltzen duen zerbitzari baten berdin-berdina da:

ip -4 route get 9.9.9.9

Irteera horretako dev eremua NAT arauak geroago beharko duen izena da, beraz gorde ezazu.

Birbidaltzea kernelaren etengailu bat eta suebakiaren politika bat da

Kernelak birbidaltzea onartu behar du, gutxienez. Irakurri uneko balioa eta gero egin ezarpena iraunkor, martxan dagoen kernelera soilik idatzi beharrean:

sysctl net.ipv4.ip_forward
printf 'net.ipv4.ip_forward=1\n' > /etc/sysctl.d/70-vpn-forward.conf
sysctl --system

Birbidaltzea erdia besterik ez da. UFW darabilen ostalari batean birbidaltze-politika /etc/default/ufw fitxategian ezartzen da eta ACCEPT izan behar du birkarga indarrean sartu aurretik. Birbidaltze-bidean lehenetsitako baztertzeak esku-ematea erabat osasuntsu uzten du, tunelatik irten nahi duen pakete oro isilean baztertzen duen bitartean, eta hori da hasi zinen sintoma bera.

nftables zuzenean kudeatzen duten ostalariek galdera bera dute beste sintaxi batekin. Begiratu birbidaltze-katearen kontagailuei bezero-proba bat martxan dagoen bitartean, kontsultatzen den kateak eta baztertzen duen kateak itxura bera baitute konfigurazio-fitxategi batean.

Izenda ezazu benetako irteerako interfazea NAT arauan

Iturriaren itzulpena ostalaria benetan uzten duen interfazeari dagokio, zerbitzariak banatzen duen biltegiarekin. Arau horren bi erdiek errealitatea deskribatu behar dute, eta bat ere ez da hautazkoa.

iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o enp1s0 -j MASQUERADE

Hutsik klasikoa gidaliburutik kopiatutako arau bat da, -o eth0 dioena egokitzailearen izena bestelakoa duen makinan. Araua abisurik gabe instalatzen da, ez dator bat ezerrekin, eta bezeroak internet gabe jarraitzen du. Biltegia akats beraren beste erdia da: zerbitzariak 10.44.0.0/24 banatzen badu eta arauak 10.8.0.0/24 estaltzen badu, ezer ez da inoiz bat etorriko.

Begiratu kontagailuei arauaren testuan fidatu beharrean. Zerrendak arauz arau paketeak ematen ditu, eta inoiz bat ez datorren araua zerotik geratzen da, itxuraz zuzena izan arren. Eman minutu bat benetako bezero-trafikoari zenbaki horretan ezer irakurri aurretik:

iptables -t nat -L POSTROUTING -v -n

Benetako bezero-proba baten ondoren zero pakete izateak bat-etortzea okerra dela esan nahi du, ez tunela hautsi dela. Bat datorrenean, gorde arau-multzoa berrabiarazteari eusteko; shell historialean soilik bizi den konponketa lehen berrabiaraztean desagertzen da.

Zerbitzaria hodeiko NAT instantzia ere bada, plataformak ere badu hitza. Helbideak itzultzen dituen instantzia batek iturri eta helmuga egiaztatzea desgaituta behar du normalean hornitzaileak ezarpen hori eskaintzen duen tokian, eta VPN ataka bera kanpotik iristeko modukoa izan behar da.

DNSa lehenaren atzeko bigarren hutsa da

Helbidezko pingak funtzionatzea izenek huts egiten duten bitartean ebaztailearen arazoa da, eta badu bere arrazoia. Bere ebaztaile lokala mantentzen duen bezeroak kontsulta horiek tunel oso batera bidaltzen ditu eta inoiz iristen ez den erantzun baten zain geratzen da, ebaztaile lokala orain bidearen alde okerrean dagoelako.

Bota ebaztaile bat zerbitzaritik, bezeroak non galdetu jakin dezan. Bi sarrerek bezeroari ordezko bat ematen diote lehenengoa iristezina bada, eta biek tunelak benetan onartzen dituen ebaztaileak izan behar dute.

push "dhcp-option DNS 9.9.9.9"
push "dhcp-option DNS 149.112.112.112"

Windows bezeroak, hala ere, bertako ebaztailera itzul daitezke, eta hori da block-outside-dns ekiditera datorrena, sare lokalak soilik ebatzi ditzakeen izenak galtzearen truke. systemd-resolved darabilten Linux bezeroek sarritan ez dute bidalitako ebaztailea kontuan hartzen script batek instalatzen ez badu, beraz egiaztatu resolvectl status tunel-gailuarentzat, bidalketa ez zela kontuan hartu ondorioztatu aurretik.

Amaitu ibilbidea erabiltzaileak bizitzen duen moduan. Kargatu benetako orri bat bezerotik, egiaztatu zein helbidetatik irteten den, berrabiarazi zerbitzaria, konektatu berriro eta errepikatu hiru probak. Bigarren pasada hori da gordetako arauek, suebaki-politikak eta bidalitako ebaztaileak elkarrekin iraun zutela frogatzen duen bakarra.