VPN ibilbidea edo suebaki araua: zeinek botatzen du paketea?

Bi erabaki independente gertatzen dira pakete berarekin, eta edozeinek isilpean amaitu dezake eskaera. Ibilbide bilaketak interfaze bat eta hurrengo jauzi bat aukeratzen ditu, gero pakete-iragazkiak erabakitzen du konbinazio hori baimenduta dagoen. Denbora-muga batek esaten dizu bietako batek uko egin ziola, ez zeinek. Pasa ezazu etapa bakoitza ordenan eta konponketa, normalean, uste izateari uzten dio.

Bi erabaki, pakete bat, bi jabe

Ibilbide bilaketak politika-arauak kontsultatzen ditu lehenik, gero haiek seinalatzen duten taula, eta helmugarekin bat datorren aurrizkirik zehatzena aukeratzen du. Tunel-ibilbidea instalatu duen bezeroak erabaki horren jabe da, eta suebaki arau bateko ezerk ezin du hura ordezkatu. Bilaketak ustekabeko leku batera seinalatzen duenean, ondorengo etapa guztiek pakete okerrean egiten dute lan.

Iragazketa bereizia da. Linux ostalari batean netfilter kakoek trafikoa zatitzen dute paketea norentzat den arabera: irteerak makina uzten du, sarrerak bertan amaitzen du, birbidaltzeak hura zeharkatzen du. VPN bezeroak onartu eta LAN batera bideratzen dituen atebide batek birbidaltze-bidea behar du, eta hori da konfigurazio lehenetsi gehienek hutsik uzten duten katea.

Iturri-hautaketa erabaki beraren parte da, eta han ezkutatzen dira desadostasun gehienak. Kernelak irteera-interfazetik aukeratzen du iturri-helbidea, ibilbideak bat izendatzen ez badu behintzat, beraz LAN azpisarearentzat idatzitako iragazki-arau batek ez du inoiz bat egiten tunel-helbidearekin irteten den pakete batekin.

Irakurri zerk aukeratu zuen bilaketak benetan

Inprimatu erabakia, hura ondorioztatu beharrean. Beheko komandoak kernelak helmuga horretarako erabiliko lukeen ibilbidea ebazten du, interfazea eta aukeratuko lukeen iturria barne:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

VPN bezeroek sarritan taula nagusiaren azpiko lehentasunetan instalatzen dituzte politika-arauak, beraz taula nagusi garbi batek ez du berez ezer frogatzen. Alderatu arauen lehentasunak hautatzen dituzten taulekin, eta egiaztatu tunel-ibilbidea berriro konektatzean bizirik irauten duen, behin eskuz gehitu beharrean.

Politikan oinarritutako IPsec-ek hirugarren parekatze-etapa gehitzen du, bideratzeak estaltzen ez duena, strongSwanen birbidaltze-oharrek tunel eta garraio ezarpenetarako deskribatzen duten bezala. Segurtasun-politikak trafikoa aurrizki eta protokoloaren arabera hautatzen du, ibilbideak babesgabea den pakete bat nora joango litzatekeen soilik erabakitzen duen bitartean. Bideratuta dagoen baina hautatzaile parekaturik ez duen azpisare bat edo babesgabe geratzen da edo baztertu egiten da, konfigurazioaren arabera, eta bi emaitzetatik bat ere ez da suebaki arazo baten antzekoa. Inprimatu politika eta alderatu bere hautatzaileak tunelak eraman beharko lituzkeela espero zenituen aurrizkiekin.

Iragazketa kako batean aplikatzen da, ez ibilbide batean

VPN entzulea baimentzen duen araua atebideari berari zuzendutako trafikoari buruzko araua da. Ez du ezer esaten atebide horren atzeko ostalarietara iristen diren bezeroei buruz, birbidalitako trafikoak beste kate bat zeharkatzen duelako. Arau multzoa zerrenda lau gisa irakurtzea da itxuraz zuzena den arau bat inoiz aktibatzen ez den arrazoi ohikoa.

Kontagailuek azkar argitzen dute galdera. Pakete-kontagailu zero duen arau batera ez zen inoiz iritsi, eta horrek kate okerra, interfaze okerra edo lehenagoko baztertzea adierazten du. Baztertze-politika baten pean kontagailua handitzen duen araua bilatzen zenuen muga da, eta paketea baztertu egiten da, oker bideratu beharrean.

Bidali proba bat bezeroak erabiltzen duen bidetik

Atebidean bertan egindako probek irteera eta sarrera zeharkatzen dituzte, atebidearen iturri-helbidearekin. Hori bezero baten birbidalitako eskaeraren bide ezberdina da, beraz tokiko curl arrakastatsu batek dirudiena baino gutxiago frogatzen du. Egiaztatu huts egiten duen makinatik, edo ainguratu interfazea eta iturria modu esplizituan.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Bi muturretan egindako kapturak gainerako kasuak bereizten ditu. Bezeroa uzten duen eta inoiz iristen ez den SYN batek bideratzea, zifratzea edo goragoko sarbide-zerrenda bat esan nahi du. Iristen den eta erantzunik jasotzen ez duen SYN batek zerbitzua edo bere ostalari-iragazkia esan nahi du, eta tunela ez zen inoiz arazoa.

Itzulerako trafikoak bere begirada merezi du. Bideratze asimetrikoak eta alderantzizko bide-iragazketak interfaze okerrean iristen diren erantzunak baztertzen ditu, eta hori norabide bakarreko konexio gisa agertzen da, blokeatutako ataka baten ordez. Egiaztatu sysctl balioa suebakiari eragin ez zuen sintoma baten errua eman aurretik.

Erregistratzeak bigarren iritzi gisa funtzionatzen du, ez lehen urrats gisa. Birbidaltze-katean aldi baterako erregistro-adierazpen batek jo duten interfazea eta helbideak izendatzen ditu, eta gero erraz kentzen da. Betiko uzten baduzu, erantzun baten ordez erregistro-bolumen arazo bat eraiki duzu.

Jarri aldaketa bakoitza berriro konektatzean bizirik irauten duen lekuan

ip route add bidez gehitutako ibilbide bat interfazea jaisten den arte bizi da. Gorde ezazu konexio-profilean: NetworkManager-ek konexioan ibilbide gehigarriak onartzen ditu, eta netplan-ek abioen artean gordetzen ditu. Arau bera aplikatzen zaio bezeroaldeko suebaki-salbuespide bati, hurrengo berriz kargatzean desagertzen dena.

Zerbitzari aldeko arauak zerbitzuak abioan kargatzen duen konfigurazio-fitxategian daude, ez ixtean amaitzen den saio interaktibo batean. Idatzi araua, berriz kargatu eta egiaztatu kontagailua mugitu dela, sintaxia baztertu zuen berriz kargatzeak isilpean aurreko arau multzoa bere lekuan uzten baitu.

Gero errepikatu jatorrizko aplikazio-eskaera hasieratik amaierara eta idatzi zein geruza aldatu zen. Iragazki-aldaketa bat ere behar zuen ibilbide-konponketa batek huts egiten jarraituko du, eta bigarren hutsak askoz errazago irakurtzen da lehena desagertu dela dakizunean. Idatzi data eta bezeroaren bertsioa emaitzaren ondoan, bideratze eta iragazketa lehenetsiak bertsioen artean mugitzen baitira. Mantendu ohar hori tiketaren gainean, hurrengo pertsonak zu gelditu zinen lekuan has dadin, bi etapako ibilbidea errepikatu beharrean.