LAN bezeroek routerraren VPN-a ez dute erabiltzen politika bidezko bideratzea aplikatu arte

Routerra internet-era bere tunelaren bidez iristen da, baina atzean dagoen eramangarriak ISP-ren helbidea ematen jarraitzen du. Onartze-arauak gehitzeak ez du laguntzen, eta huts egite hori esanguratsua da: iragazketak erantzuten du paketea pasa daitekeen, ez nora doan. Interfazearen hautua dagoeneko egin du bezeroen zerrendari buruz ezer ez dakien bideratze-kontsulta batek. Konpondu kontsulta eta suebakia ez da susmagarria izateari utziko dio.

Iragazki-arau batek ezin du interfazerik aukeratu

Linux router batean paketeen fluxuak lehenengo bideratze-erabakia eta gero forward kakoa exekutatzen ditu. Arau bat irteerako tunel-gailuarekin bat datorrenean, kernelak dagoeneko erabaki du tunela dela irteera. Taula nagusiak oraindik WANeko lehenetsitako bidea nahiago badu, paketea ISP-rantz doa eta orain idatzi duzun onartze-arauak ez du inoiz ikusten. Ordenaren egitate bakar horrek azaltzen du zergatik suebaki-arau berrien orrialde batek ez duen ezer aldatzen.

Beheko adibideak br-lan-en 192.168.8.0/24 LAN bat, tun0 tunel-gailu bat eta 192.168.8.23 helbideko set-top box bat erabiltzen ditu, tunela erabili beharko lukeena.

Irakurri kontsulta arauak editatu aurretik

Eskatu kernelari bezero horren izenean bide bat ebazteko. Erantzunak irteerako gailua eta aukeratuko litzatekeen iturburu-helbidea jasotzen ditu, eta hori da diagnostikoa baieztatzeko behar duzun guztia. Erantzunak WAN gailua aipatzen badu, paketeak ez zuen inoiz zure araura iristeko aukerarik izan.

ip -4 route get 198.51.100.7 from 192.168.8.23

Errepikatu kontsulta bide arruntean geratu beharko lukeen bezero batentzat. Bi erantzunek gailu bera aipatzen dutenean, oraindik ez dago iturburu bidezko politikarik martxan, eta konponketa bideratzean dago, ez iragazketan.

Lotu taula bat estali nahi dituzun bezeroei

Politika bidezko bideratzeak arau-kontsulta bat txertatzen du taula nagusiaren aurretik. Eraiki taula bat lehenetsitako bidea tunela duena, eta gero lotu taula hori hautatzaile bati: sarrera-interfaze bat, iturburu-helbide bat edo suebaki-marka bat. Lehentasunek ordena erabakitzen dute, eta taula nagusia zerrendan oso behean dago, 32766an, beraz zenbaki txikiko araua kontsultatzen da lehenago. Interfaze-hautatzaileek zubiko bezero guztiak estaltzen dituzte; helbide-hautatzaileek makina bat estaltzen dute.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Firmware-interfazeek normalean politika bidezko bideratzearen edo VPN politikaren orrialdearen objektu berak erakusten dituzte. Han gailu-zerrenda bat errazago mantentzen da eskuz idatzitako arauak baino, eta arauen sintaxia aldatzen duten eguneratzeei aurre egin ohi die.

Aukeratu hautatzailea nahita. Interfaze-araua laburra eta etorkizunerako egokia da, baina zubi horretara iristen den routerraren beraren kudeaketa-trafikoa ere harrapatzen du. Iturburu-araua zehatza da eta gailu-zerrenda aldatzen den bakoitzean editatu behar da. Idatzi hautua, gailu batek zergatik desberdin jokatzen duen galdetuko duen hurrengo pertsonak beharko baitu.

Eduki tokiko helburuak tunelatik kanpo

Taula berri batek haren barruan jartzen dituzun bideak baino ez daki. LAN aurrizkia falta da, beraz inprimagailuaren eta NASen trafikoak tunelaren lehenetsitako bidea jarraituko luke eta desagertu. Throw bide batek kontsulta amaitzen du taula honetan eta erabakia taula nagusiari itzultzen dio.

ip -4 route add throw 192.168.8.0/24 table 200

Bide hori saltatzen baduzu, tokiko partekatzeak apurtu egiten dira, eta routerraren kudeaketa-saioa bera desagertu daiteke hautatzailea asmoa baino zabalagoa bada. Gero argitu iturburuaren kontua: oraindik LAN helbideak daramatzaten tunel-paketeek beste aldeak itzulera-bide bat ezagutzea behar dute, eta tunelean egiten den masquerading-ek baldintza hori kentzen du eta beste aldeak ikusiko lukeen bezero-nortasuna ere kentzen du.

Exekuzio-denboran gehitutako arauak eta bideak desagertu egiten dira berrabiarazi edo firmware eguneratu ondoren. Gehitu horiek routerraren abiarazte-mekanismoan, berrabiarazi behin eta probatu berriro bezerotik: haren helbide publikoa, WANen geratu beharko lukeen bigarren bezero bat eta tunelaren kontagailuak konexio berri batean.