Routerraren VPNak funtzionatzen du, baina LANeko bezeroek ez dute internetik

Routerra bere tuneletik iristen da internet-era, baina haren atzeko gailuak ez. Birbidalketa, itzulpena eta itzulera-bideak baimen bereiziak dira.

Egoerak dio tunela aktibo dagoela, routerrean bertan dagoen nabigatzaileak orriak kargatzen dituela, eta haren atzeko gailu bakoitzak oraindik denbora-muga jasaten duela. Konbinazio horrek arazoa VPN gida gehienek inoiz aipatzen ez duten geruza batera mugatzen du: routerra ez da tunela bizirik iraun behar duten paketeak dituen ostalari bakarra. Tokian sortutako trafikoak eta birbidalitako trafikoak bide desberdinak egiten dituzte kaxa beretik. Probatu bezero batetik eta aldea ez da teorikoa izateari uzten.

Irakurri hutsegitea LAN ostalari batetik

Huts egiten duen gailutik hasi, routerrean diagnostiko bat egiteak beste galdera bat erantzuten baitu. Egiaztatu bezeroaren lehenbiziko atebidea router hau dela, idatzi haren iturburu-helbidea eta azpisarea, eta gero begiratu zer irteten den routerraren tunel-interfazetik.

Bezeroaren helbidea itzultzen bada, urruneko aldeak tunelaren helbidea ikusten du, eta handik dena osasuntsu dirudi bezeroak huts egiten jarraitzen duen bitartean. Itzultzen ez bada, urruneko aldeak bezeroaren azpisarera itzultzeko bidea ezagutu behar du, eta atebide askok ez dute halako biderik lehenespenez. Bi kasuetan routerraren arrakasta bera ez da garrantzitsua, haren paketeak tokian sortu baitziren eta ez baitzuten inoiz birbidalketa-bidea zeharkatu.

Trafiko lokala eta birbidalitako trafikoa desberdinak dira

Linuxek eta router firmware gehienek kaxak berak sortutako paketeak desberdin tratatzen dituzte hura zeharkatzen duten paketeei dagokienez. Output kateak lehen mota ikusten du, forward kateak bigarrena, eta routerraren trafiko propioari egokitutako politikak birbidalketa ukitu gabe utz dezake.

sysctl net.ipv4.ip_forward
ip -4 address show br-lan
ip route get 203.0.113.9
nft list ruleset | grep -A 6 'chain forward'

Egiaztatu birbidalketa aktibatuta dagoen ere, eta gero irakurri forward katea output katea beharrean. Kanpoko konexio zifratua baimentzen duen araua ez da deskifratutako paketeak birbidaltzea baimentzen duen araua, eta biak nahasteak zehazki sintoma hau sortzen du. Tunela aktibo egoteak lehenengoa baino ez du frogatzen.

Itzulera-bidea ere egon behar da

Iturburuaren itzulpenak erabakitzen du itzulera-bidea behar den. Tunel-interfazean masquerading badago, erantzunak tunelaren helbidera itzultzen dira eta routerrak itzulpena indargabetzen du. Hori gabe, urruneko atebideak bezeroaren azpisarera bide esplizitua behar du, eta haren politika propioak norabide hori baimendu behar du.

Idatzi inplementazioak bi diseinuetatik zein erabiltzen duen ezer aldatu aurretik, konponketak kontrako norabideetara doaz eta. Itzulpena gehitzeak falta den itzulera-bidea ezkutatzen du eta jatorrizko iturburu-helbidea behar duten aplikazioak hausten ditu. Itzulpenik gabeko itzulera-bidea gehitzeak isilean egiten du huts urruneko suebakiak iturburu ezezaguna baztertzen duenean. Aukeratu bat, dokumentatu eta bestea bat etor dadin egin.

Bezeroaren DNS berrikuspen berberaren parte da. Routerraren ebaztaileak erantzun dezake beste zerbitzari bat seinalatzen duen bezeroak ezer ez duen bitartean.

Egiaztatu onartutako fluxu bat eta ukatuako fluxu bat

Zuzenketaren ondoren, probatu bezero batetik datorren konexio berri bat, routerraren uneko saio bat beharrean. Gero egiaztatu tunela erabili behar ez duen segmentu batek oraindik ez duela erabiltzen.

curl -sS --max-time 8 https://api.ipify.org
ip route get 203.0.113.9
dig +short intranet.example.net

Egiaztatu urruneko muturrean ikusitako iturburu-helbidea, hark esaten baitizue zein diseinu dabilen benetan. Egiaztatu izen-kontsulta bat helbideaz gain, ebaztailearen portaera kaxa beretik doan bide bereizia baita.

Eduki arauak tunela behar duten bezero-sareetara mugatuta, eta egin aurre proba bat igarotzeko birbidalketa-iragazkia desaktibatzeko tentazioari. Aldaketa horrek proba konpontzen du eta tunelak eman beharreko muga kentzen du. Idatzi iturburu-helbidea, itzulpen-erabakia eta itzulera-bidea ohar bakarrean, data batekin.

Erlazionatutako artikuluak