PiVPN-en esku-ematea funtzionatzen du, orrialdeak trabatuta: egiaztatu MASQUERADE

Zure telefonak tunela konektatuta erakusten du, bezeroak helbide pribatu bat jakinarazten du, eta lehen orrialdea oraindik erdizka geratzen da kargatzen. Konbinazio horrek jende gehiena zifratze-ezarpenetara eta CPUaren tenperaturara bidaltzen du, non benetan ez baitago ezer gaizki. Tunela altxatu da, beraz, negoziazioa amaitu da; huts egin duen urratsa hurrengoa da, zerbitzariak bezeroaren paketeak internetri entregatzen saiatzen denean. Jarraitu pakete horiek egiten duten bide bera, eta desadostasuna NAT taularen lerro bakarrean ikusten da normalean.

Hasi bezeroak zerk har dezakeen eta zerk ez

Konektatutako bezerotik, kargatu internet publikoan bizi den orrialde bat, eta ohartu berehala huts egiten duen edo erdibidean trabatzen den. Gero ireki baliabide bat VPN zerbitzariaren beraren helbide pribatuan, eta alderatu bi emaitzak.

Ping-ari erantzuten dion tunel-helbidea, webgune publikoek denbora-muga gainditzen duten bitartean, birbidaltze edo itzultze arazo baten seinale da, ez esku-emate haustuarena. Bezeroaren beraren egoera-panelak ezin ditu bereizi, kontrol-kanala altxatuta dagoela besterik ez dakielako. Egiaztatu zerbitzarian tunelaren interfazea honekin ip -br addr show tun0 eta berretsi bezeroari esleitutako helbidea konfiguratu duzun igerilekuaren barruan dagoela. Igerilekuak eta bezeroaren helbideak bat ez badatoz, konpondu hori lehenik, beheko arau bakoitza igerilekuarekin bat datorrelako.

Ondoren, galdetu zerbitzariari zein interfaze erabiliko lukeen helbide publiko batera iristeko. ip route get 203.0.113.9 lehen lerroan inprimatzen ditu hautatutako gailua eta iturria. Idatzi gailuaren izen hori, NAT arauak balio hori eduki behar duelako.

Irakurri paketeak irteten diren ala ez erabakitzen duen araua

MASQUERADE-k pakete bat berridazten du arauan izendatutako interfazearen bidez irteten denean soilik. Kable bidezko gailu bati lotutako arauak ez du ezer egiten Wi-Fi bidez irteten den trafikoarentzat, eta paketeak bere iturri-helbide pribatua gordetzen du goiko bideratzaileraino. Bideratzaile horrek ez du zure tunel-igerilekura itzultzeko biderik, beraz, erantzuna baztertu egiten du, eta bezeroak irekitzen eta gero hiltzen den konexio bat ikusten du. Sintoma handitu egiten da lehen erantzuna behar baino lehen iristen den orrialde-kantitatearekin.

Zerrendatu taula bizia eta irakurri irteerako interfazearen zutabea, MASQUERADE hitza soilik bilatu beharrean. Gehitzeko formako irteera errazago alderatzen da formatudun zerrenda bat baino:

ip -br addr show tun0
ip route get 203.0.113.9
sudo iptables -t nat -S POSTROUTING

Behinola Ethernet eta orain Wi-Fi erabiltzen duen Raspberry Pi batean, izen zaharkitua da ia beti istorio osoa. Instalatzaileak erregistratu zuen zein gailu zegoen konfigurazioan, eta gordetako arau-multzoak exekutatzen du abiatu bakoitzean. Alderatu bide-kontsultako gailua araukoa beste ezer aldatu aurretik. Bat badatoz, interfazea ez da zure arazoa eta azken ataleko kontagailuetara joan beharko zenuke. Desberdinak badira, konponketa iraunkortasun fitxategiko hitz bakarreko aldaketa bat da.

Zuzendu gordetako arau-multzoa, ez soilik martxan dagoena

Taula bizia soilik editatzeak hurrengo berrabiaraztera arte irauten du, eta hori nahikoa da arazoa konpondu dela sinetsarazteko. Abiatzean itzultzen diren arauak suebakiaren iraunkortasun pakete batek berriz kargatzen duen fitxategi batean bizi dira. Debianen oinarritutako Pi irudietan fitxategi hori normalean /etc/iptables/rules.v4.

Egin kopia bat ukitu aurretik, gero ordeztu MASQUERADE lerroko irteerako interfazea erregistratu duzun gailuarekin, adibidez -o wlan0 ordez -o eth0. Mantendu iturri-barrutia dagoen bezala, zure bezero-igerilekua aldatu ez bada. Kargatu berriro eta berretsi arauak gailu zuzena izendatzen duela orain:

sudo cp /etc/iptables/rules.v4 /root/rules.v4.bak
sudo iptables-restore < /etc/iptables/rules.v4
sudo iptables -t nat -L POSTROUTING -v -n

Bi ezarpen alboko erraz ahazten dira. sysctl net.ipv4.ip_forward 1 jakinarazi behar du, eta goiko bideratzaileak ez du iturri-helbide pribatuak berak iragazi behar.

Frogatu araua aktibatzen dela, eta gero isolatu zer dagoen oraindik motel

Kontagailuak dira arau bat bat etorri deneko froga zintzo bakarra. Exekutatu zerrenda luzea, hasi deskarga bat bezeroan eta exekutatu berriro. Zure arauaren ondoko pakete eta byte zutabeek gora egin behar dute, eta zeroan geratzen den arau bat oraindik ez da bat etortzen. Kontagailuak mugitzen badira baina orrialdeek huts egiten badute oraindik, alderatu iturri-barrutia benetako igerilekuarekin honekin grep -n "^server " /etc/openvpn/server.conf. Mugitzen badira eta orrialdeak kargatzen badira baina errendimendua eskasa bada, itzulpena eginda dago eta gainerako arazoa beste nonbait dago.

Alderatu bi transferentzia bezero beretik, bat sare lokaleko ostalari batera eta bestea tunelaren bidez ostalari berera. Bi kasuetan motel izateak Piaren irteerako estekak edo Wi-Fi konexioak seinalatzen ditu, ez VPNak. Tunelaren bidez soilik motel izateak MTU eta berbidalketek seinalatzen dute, eta hauek honekin azter ditzakezu ip -s link show tun0 edozein kripto-ezarpen aldatu aurretik.

Esperimentua desegiteko, leheneratu kopia eta kargatu berriro, gero berretsi jatorrizko araua eta haren kontagailuak itzuli direla. Idatzi irteerako gailua eta berriz kargatzeko komandoa zerbitzariaren oharretan, hurrengo irteerako esteka-aldaketak desadostasun bera berriro aurkituko duelako. Gailu okerra izendatzen duen araua ikusezin geratzen da trafikoak behar duen arte.