OpenVPN bidezko LAN sarbidea hondatuta? Egiaztatu eremuak, ibilbideak eta itzulera bidea

Tunelak konexio arrakastatsua jakinarazten du, bideratzailearen beraren orria kargatzen da, eta atzean dagoen makina baterako unitate-mapa oraindik iraungitzen da. Konbinazio horretan ez dago ezer kontraesankorrik: bideratzaileak bere buru gisa erantzuten du, eta atzean dagoen edozer lortzea beste leku batean hartutako beste erabaki bat da. Egin beheko egiaztapenak ordenan eta gelditu lehen huts egitean, bakoitza aurrekoan oinarritzen baita. Lauak pasatzen direnean, akatsa tunelaren gainean dago, ez barruan.

Zein iragazkik ikusten du LANera doan paketea

Bideratzaileari zuzendutako paketea tokian kontsumitzen da; atzean dagoen ostalari bati zuzendutako paketea birbideratu behar da, eta suebakiek bi kasu horiek bereiz ebazten dituzte. Beraz, bideratzailea lortzeko baimenak ez du ezer esaten hura zeharkatzeko baimenari buruz. Bere arau-multzoak ezkutatzen dituen firmwareak biak ezartzen ditu oraindik, normalean LANa, internet edo biak eskaintzen dituen hautatzaile gisa. Hautatzaileak LANA kanpoan uzten badu, geroagoko egiaztapenik ez da axola izango.

OpenWrtek bereizketa hori ikuskagarri egiten du, eta aldea behin irakurtzea merezi du. Tunela amaitzen duen eremuak LAN eremurantz zuzendutako birbidaltze-araua behar du, eta sarrera-arauak bideratzailean bertan exekutatzen diren zerbitzuak baino ez ditu arautzen. Administrazio-orri erabilgarri bat LAN hil baten ondoan birbidaltze-arau hori falta delako emaitza ohikoa da.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Begiratu tunela daraman eremuaren birbidaltze-helburuari: accept da eskailerak behar duena, eta reject-k azpiko denbora-muga guztiak azaltzen ditu. Ondoko bi ezarpenek sintoma bera sortzen dute, beraz baztertu itzazu hemen zauden bitartean. Haririk gabeko isolamenduak ostalari kabledunak bezero harigabeetatik ezkutatzen ditu, eta LAN ostalari inaktiboak lineaz kanpo bezala tratatzen dituen bideratzaileak erantzunak bota ditzake birbidaltzea funtzionatu ondoren ere.

Zergatik behar du tunel zatituak aurrizkia bultzatuta

Tunelaren bidez trafiko guztia bidaltzen duen bezeroak LAN aurrizkia badu bere ibilbide lehenetsiaren bidez, beraz ez dago ezer gehitzea. Tunel zatitua aurrizkia modu esplizituan adieraztea behar duen kasua da, konfigurazioan beste ezerk ez baitu aipatzen. Gehitu direktiba zerbitzariaren konfigurazioan eta kargatu berriro zerbitzua.

push "route 192.168.50.0 255.255.255.0"

Duten profilek route-nopull bultzatutako ibilbideak baztertzen dituzte, beraz aurrizki berbera bezeroaren fitxategian dagokio. Edozein modutan, egiaztatu sarrera iritsi dela suposatu beharrean, isilpeko ordezkapenak suebaki-arazo baten itxura bera du eta.

ip route show | grep 192.168.50

Gunez guneko pare batek bultzada baino gehiago eskatzen du. Zerbitzariak ikasi behar du zein aurrizki dauden pare horren atzean, eta hori iroute lerroak egiten du bere client-config-dir fitxategian, eta bere taulak tunelean sartzeko ibilbide egokia behar du.

Erantzunak iristeko moduko helbidea behar du

Eskaera birbidaltzea trukearen erdia baino ez da, LAN ostalariak tunelaren multzoko helbide bati erantzun behar baitio. Bideratzaile txikiek normalean jatorria tunel eremuan itzuliz konpontzen dute, beraz erantzuna bideratzaileari zuzentzen zaio eta ez du beste inon konfiguraziorik behar. Kendu itzulpen hori eta ostalariak multzorako bere ibilbidea behar du, doan lortzen duena bideratzailea bere atebide lehenetsia denean. Eskuz ezarritako helbidea eta beste atebide bat dituen ostalarik atebide horren bidez erantzuten du, eta bezeroak saioa ireki eta gero trabatzen ikusten du.

tcpdump -ni tun0 host 192.168.50.20

Exekutatu hori bideratzailean bezeroak bere eskaera errepikatzen duen bitartean, eta irakurri erantzunaren helmuga, ez eskaera bera. Multzora zuzendutako erantzunak itzulera bidea funtzionatzen duela eta akatsa barrurago dagoela esan nahi du. Erantzunik ezak ostalariak paketea inoiz onartu ez zuela esan nahi du, eta horrek arau-multzora itzularazten zaitu.

Leku egokian amaitzen den eskailera

Lau egiaztapenek geruza kokatzen dute, eta bakoitza komando bakarra da, ez judizio bat. Exekutatu ordenan eta gelditu lehen huts egitean. Ordena komandoak baino garrantzitsuagoa da, geroagoko pausu batek lehenagoko batek huts egin zuelako arrazoia ezkutatzen baitu.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Izenak eskaileraren amaieran dagozkio, ez inoiz hasieran. 192.168.50.20 gisa erantzuten duen baina nas.local gisa ez duen partekatzeak izen-ebazpena edo bilaketa-atxikia seinalatzen du, eta suebakiaren aldaketek ezin dute bietatik ezer aldatu.

Idatzi huts egin zuen lehen pausua, gero eman zerbitzu-portuei beren txanda, entzulea eta ostalari-baimena baldintza bereiziak baitira. Fitxategi-partekatzeak, urruneko mahaigainak eta kamera-fluxuek biak behar dituzte, eta LAN azpisareari baina tunel-multzvari fidatzen ez zaion ostalari-suebakiak bezeroa botatzen du ping oraindik arrakastatsua den bitartean. Egiaztapen guztiek pasatzen dutenean eta aplikazioak huts egiten jarraitzen duenean, akatsa tunelaren gainean dago: interfaze bakarrari lotutako zerbitzua edo bezeroan konfiguratutako proxy bat.