Zergatik VPN bezero baten atzeko zerbitzariak tunelaren bidez erantzuten duen

VPN bezero bat ere exekutatzen duen ostalari batera sarrerako konexioek huts egiten dute modu oso zehatzean: esku-keinua iristen da, daemonak erantzuten du eta bezeroak ez du ezer jasotzen. Ezerk ez du portua blokeatzen. Erantzuna tunelaren bidez atera zen, tunelak bide lehenetsia duelako eta kernelak erantzunak helmugaren arabera bideratzen dituelako, eskaera nondik etorri zen oroitzaren arabera izan beharrean. Daemona ondo dago eta portua irekita dago.

Erantzuna bideratu egiten da, ez da gogoratzen

Bide lehenetsia instalatzen duen VPN bezeroak LAN ataka gainditzen duen sarrera bat gehitzen du, metrikaren bidez edo espazioa erdi zehatzago bihurtuz. Irteerako paketeek tunelaren interfazea aukeratzen dute orain. Kernelak ez du inoiz galdetzen erantzuten ari zaion paketea nondik iritsi zen jatorriz. Hutsegite bakar horrek azaltzen ditu ondorengo sintoma guztiak.

Aurrerako norabidea helmugaren arabera bideratzen da, eta atzerakoa ere bai. Erantzuna bezero publiko bati zuzenduta dago, eta tunelak gogoz eramango du. Urrutiko muturrak jabetzen ez den iturburua duen pakete bat jasotzen du, baztertu egiten du, eta jatorrizko bezeroa denbora agortu arte itxaroten du.

Alderantzizko bidearen iragazketa zorrotzak sarrerako paketea bota dezake daemonak irakurri aurretik. Begiratu kontagailu hori lehenengo, kanpotik iragazkiaren jaurtiketa eta bideratze-errorea berdin ikusten baitira.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Lehen komandoak erakusten du zein bide lehenetsik irabazten duen orain. Bigarrenak jakinarazten du iragazketa zorrotza orokorki ala interfaze bakoitzeko aplikatzen den, eta hirugarrenak erakusten du tartean egon litekeen aurrerapen-katearen edozein arau.

Itzulera-bidea mantentzeko hiru modu

Zerbitzuaren helmuga tunelatik kanpo uztea da aukerarik estuena. LAN atakara zuzendutako ostalari-bidea, gehi helbide fisikoari lotutako daemona helbide guztiei ordez, fluxu hori tunelatik kanpo mantentzen du. Aldaketa lokala da eta erraz desegiten da.

Politika bidezko bideratzea da erantzun orokorra. Iturburu-helbidean edo suebakiko markan oinarritutako arauak WAN atakara seinalatzen duen bide lehenetsia duen taula hautatzen du, ostalariaren beraren konexioek tunela erabiltzen jarraitzen duten bitartean. Mantendu lehentasuna esplizitu, araua geroago itzal ez dadin.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Lehen bi komandoek helbide publikotik datozen erantzunentzako bide alternatiboa eraikitzen dute. Hirugarrenak kernelari galdetzen dio zein bide hartuko lukeen iturburu eta helmuga zehatz horrek, eta horrela baieztatzen duzu arauak baduela eraginik.

Iturburuaren itzulpena hirugarren aukera da eta zerbitzuaren aurrean jada NAT egiten duen router baten aurrean bizirik irauten duen bakarra. Erantzunak router horretara itzuli behar du, eta WAN interfazera maskaratzeak lortzen du hori, bezeroa zerbitzuaren erregistroetatik ezkutatuz. Konektatu ondoren bide lehenetsia eskuz ordeztea diagnostikoa da, bezeroak taula berridazten baitu hurrengo berrikonexioan.

Kutxak LAN baterako ere bideratzen duenean

Hutsegite bera jauzi bat harago agertzen da ostalariak bere atzean dauden gailuetarako bideratzen duenean. Sarrerako konexio bat barneko gailu batera birbidaltzen da, zeinaren itzulera-bide bakarra tunela den, eta erantzunak kanpoko bezeroa harrapatzen du hornitzailearen helbidetik. Barneko gailuak behar bezala funtzionatzen du denbora osoan.

Konexioen jarraipenak inoiz erregistratu ez zuen fluxu baten erantzuna ikusten du orduan eta baztertu egiten du. Helmugaren itzulpenak sarrerako konexioa gailura eramaten du, eta iturburuaren itzulpenak erantzuna routerretik bertatik datorrela ematen du.

Birbidalitako portua WANen mantentzen duen eta routerraren trafikoak tunela erabiltzen duen politika-bidea baliokide garbiagoa da. Iturburuaren itzulpenik gabe erantzuna kanpoko bezeroari zuzenduta dago, eta barneko gailuak ez du helbide horretarako biderik batere.

Kausak bereizten dituzten hiru proba

Egin hiru proba: internetetik kutxara konexio bat, bertatik ostalari publiko batera konexio bat eta izen-kontsulta bat. Lehen biak bat ez datozenean, itzulera-bidea da erruduna. Izenek bi norabideetan huts egiten dutenean, ebazlea tunela soilik partekatzen duen beste akats bat da.

Konpondu lehenengo bideratze-kontua, gero begiratu izenak. Biak nahastea da funtzionatzen duen zerbitzari bat ebazle hautsia izateagatik erruduntzeko modua.

Idatzi zein interfaze aipatzen duen salbuespenak eta mantendu konfigurazioa bertsio-kontrolpean. Eguneratze baten ondoren izena aldatzen duen interfaze baten aurka idatzitako arauak gaur pasatzen du eta hurrengo berrabiaraztean huts egiten du.