Tunela martxan, internetik ez: non gelditzen den birbidalketa

Bezeroa konektatzen da, tunelak pingak eramaten ditu atebidera, eta haratago ezerk ez dio erantzuten. Egoera hori normala da beti sare babestuetarako sarbidea emateko soilik pentsatuta egon den atebide baterako, eta hutsegitea da tunel osoko irteera gisa iragarrita dagoen batentzat. Arauak aldatu aurretik, egiaztatu zein zerbitzu agindu zen. Ondoren, jarraitu eskaera publiko bat geldi daitekeen lau lekuei. Eskaera batek eta pakete-harrapaketa batek orri bat susmo baino gehiago argitzen dituzte.

Egiaztatu ea interneterako irteera hasieratik diseinua zen

Tunel banatuaren profilek VPN-ra sare babestuak baino ez ditu bideratzen, beraz nabigazio publikoa tokiko loturaz jarraitzen da eta ez dio inoiz atebideari ukitzen. Tunel osoko profilek bide lehenetsia instalatzen du tunelean, eta horrek atebidea bide osoaren erantzule egiten du. Biak diseinu zilegiak dira, eta haiek nahasteak hutsegite txostena sortzen du hura ez dagoen lekuan. Irakurri bezeroak iragarritako bideak beste ezer probatu aurretik, bide-taulak txartelak normalean gaizki planteatzen duen galderari erantzuten baitio.

Bezeroak instalatzen duena ez da beti profilek asmo duena. Bultzatutako bide bat metrika txikiagoko tokiko bide batek gaindi dezake, eta bide lehenetsia gehitzen duen bitartean LAN bidea mantentzen duen bezeroak tunel banatu gisa jokatzen du sare horretarako.

Jarraitu eskaera publiko bat

Aukeratu helmuga bakarra eta jarraitu bezerotik kanporantz. Bezeroan, egiaztatu paketeak benetan tunela aukeratzen duen eta zein tokiko helbide erabiltzen duen iturburu gisa. Ondoren, egiaztatu atebidea: paketea iristen da, eta irten egiten du interfaze publikotik. Erantzun horietako bakoitzak kausa-kategoria oso bat kentzen du.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Atebideak paketea inoiz ikusten ez badu, bezeroaren bidea edo tunelaren aukera okerra da. Iristen bada eta irteten ez bada, arazoa atebidean dago, eta gainerako hiru egiaztapenek balio dute.

Egiaztatu birbidalketa, bidea eta itzulpena

strongSwan-ekin datorren birbidalketa-gidak edozein tunel motatako atebiderako balio du: nukleoari interfazeen artean paketeak mugitzeko baimena eman behar zaio, eta bide erabilgarri batek interneterantz seinalatu behar du. Suebakiaren politikak trafikoa baimendu behar du ondoren, eta iturburu-helbidea alde publikoak erantzun dezakeen bat izan behar da. Internet-era aldaketarik gabe birbidalitako bezero-helbide pribatuak ez du inoiz erantzunik jasotzen.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Iturburuaren itzulpena falta den pieza ohikoa da. Harekin atebideak bezeroaren iturburua bere helbide publikora berridazten du eta fluxua jarraitzen du; hura gabe erantzunak ez du nora joan. Hodeiko plataformek bigarren muga gehitzen dute, non instantziaren bide-taulak edo segurtasun-taldeak gonbidatuaren suebakiak baimentzen duen trafikoa bota dezakeen. Muga hori erraza da saltatzea, gonbidatuaren sistema barrutik ondo konfiguratuta agertzen baita.

Bide alderantzizkoaren iragazketak konfigurazio asimetrikoan pakete baliozkoak ere bota ditzake. Irakurri arau horren kontagailua ondo dagoela suposatu beharrean, interfaze publikoko ezarpen zorrotzak bide-taulak aurreikusten duenaz bestelako bidetik iristen den trafikoa ukatzen baitu.

Erantzun-bidea eta ebazlea bi erantzun desberdin dira

Erantzunari ere erreparatu, ez eskaerari soilik. Eskaera itzulita irteten bada eta erantzuna itzulitako fluxura itzultzen bada, birbidalketak egiten du lan aplikazioak oraindik huts egiten duenean ere, eta hurrengo ikerketa aplikazioari edo DNS-ari dagokio.

HTTP errore bat itzultzen duen gunea interneterako birbidalketa funtzionatzen duen froga da. Helbidezko sarbidea funtzionatzen duen bitartean ebazten ez den izena ebazlearen arazoa da, ez NATena.

Zuzentze zehatz baten ondoren, probatu berriro bezeroa eta nahita mugatutako edozein baliabide pribatu. Interneterako sarbidea emateak ez du isilean zabaldu behar atebideari lotutako sare guztietarako sarbidea.