Hurrengo jauzia VPN ibilbide batean: zergatik atebidea tokian bertan irisgarria izan behar den

VPN sare baterako ibilbide batek erraz nahasten diren bi helbide daramatza: paketea iristen saiatzen den helmuga-prefixoa eta urrats bat hurbilago eramango duen hurrengo jauzia. LAN ostalari batean, hurrengo jauzi hori esteka berean benetan irits dezakezun bideratzaile bat izan behar da. Urruneko VPN helbidea ez da hurrengo jauzi bat, buruan duzun helmugarekin zehazki bat etorri arren.

Gidaliburu honek ohiko kasua biltzen du: 192.168.20.0/24-n dagoen eramangarri bat, LAN helbidea 192.168.20.5 duen VPN atebide bat eta atebide horren atzean 10.70.0.0/24 urruneko sare bat. Beheko komando guztiek eramangarrian zaudela suposatzen dute, bestela esaten ez bada.

Bi helbide, ibilbide bat

Aurreikusitako sarrera 10.70.0.0/24 via 192.168.20.5 da. Prefixoak paketea nora doan esaten du; via helbideak nor eramaten duen esaten du. Nukleoak uko egiten dio izendatzen duzun interfazearen bidez atebidea iritsi ezin duen ibilbidea instalatzeari, eta uko egite hori da kontua: tunela behar duen hurrengo jauzi bat ezin da tunela eraikitzen duen hurrengo jauzia izan.

Beraz, lehen egiaztapena ez da «atebidea martxan dago» baizik eta «atebidea esteka honetan dago». Eramangarriaren azpisarea, haren ARP edo bizilagun sarrera eta ibilbideko interfazea bat etorri behar dira. 10.70.0.0/24 barruan soilik existitzen den helbide bat bigarren ibilbide baten helmuga izan daiteke, baina inoiz ez lehenengoaren via.

Zertara behartzen duen hurrengo jauziak atebidea

Eramangarrian ibilbidea instalatzeak lehen entregatzea soilik erabakitzen du. Gero atebideak bere bidea behar du: birbidalketa gaituta, 10.70.0.0/24-rako tunel ibilbide bat eta nork erabil dezakeen arautzen duen sarbide-politika oro. Linuxen hori net.ipv4.ip_forward=1 eta tunel ibilbide bat da; aurrean dagoen suebakiak birbidalitako fluxua baimentzen duen arau bat behar du.

Itzulera norabidea da jendeak ahazten duen zatia. Urruneko aldeak 192.168.20.0/24-ra itzultzeko ibilbide bat izan behar du, edo diseinuak eramangarriaren iturria urruneko aldeak ezagutzen duen zerbait bihurtu behar du. Atebidetik funtzionatzen duen ping batek frogatzen du atebideak urruneko sarea irits dezakeela; ez du ezer esaten eramangarriaren paketeek itzulera bidaiari eusten dioten ala ez.

Egiaztatu bilaketa bidaltzen duen ostalaritik

Galdetu nukleoari zein hurrengo jauzi aukeratuko lukeen, eta irakurri erantzunean dagoen interfazea:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Bilaketak atebidea eta LAN interfazea jakinarazten baditu, lehen zatia nahi bezala konfiguratuta dago. Tunel gailua jakinarazten badu, taulan lehenago dagoen zerbait zehatzagoa da eta irabazten du. Ibilbidea batere instalatzen ez bada, nukleoak atebidea irisgaitza dela esaten dizu, eta mezu hori pakete-harrapaketa oro baino erabilgarriagoa da.

Ondoren errepikatu proba leku egokitik. Atebidean sortutako eskaera batek atebidearen iturburu-helbidea erabiltzen du, eta horrek itzulera-ibilbide falta edo iturburu jakin batzuk soilik baimentzen dituen politika bat ezkuta dezake. ip-route eskuliburuak helmuga, atebidea eta onlink gainidazketa bereizten ditu, eta gainidazketa ulertzea merezi du erabili aurretik.

Ez erabili onlink irisgarritasuna faltsutzeko

onlink-k nukleoari esaten dio atebide baten irisgarritasun-egiaztapena saltzeko eta hala ere hara bidaltzeko. Ez du biderik sortzen, ez du han ez dagoen helbide baterako ARPrik ebazten, eta ez du urruneko bideratzailerik zure Ethernet segmentuan erantzutera behartzen. Legitimo da erantzuten duten baina konektatutako azpisare batean ez dauden atebideentzat, eta tranpa da azaldu ez duzun errore bat isilarazteko erabiltzen denean.

Ibilbidea onlink-rekin soilik instalatzen bada, hurrengo galdera da zergatik ez dagoen atebidea uste duzun tokian. VLAN oker bat, interfaze okerrean bigarren helbide bat edo azken oktetoan tipografia-akats bat guztiek sortzen dute hau, eta bakoitzak itzulera-bidea ere hausten du trafikoa isurtzen hasi bezain laster.

Puntu-puntu tunelak ez dira Ethernet

Tunel gailu batek ez du ARPrik egiten eta sarritan ez du bizilagunen azpisare esanguratsurik. Bere ibilbideek sarritan 10.70.0.0/24 dev tun0 itxura dute, via bat ere gabe, kidea baita beste mutur bakarra. LAN estiloko via bat taula horretan kopiatzeak nukleoak bazter dezakeen ibilbide bat sortzen du, edo okerrago, kideak inoiz erantzuten ez dion helbide batera eramaten duena.

Eduki bi modeloak bereizita gidaliburuan: LAN ibilbide batek atebide irisgarria du, tunel ibilbide batek interfaze bat eta kide bat ditu. WireGuard, OpenVPN eta IPsec-ek forma pixka bat desberdinak erakusten dituzte, beraz idatzi benetan erabili duzun forma, ostalari batetik orokortu beharrean.

Gehitu, berretsi, atzera egin

Aldaketa osoa hiru komando eta egiaztapen bat dira, eta ordena horretan idatzi beharko litzateke:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Berretsi bidea, berretsi helmuga bat, eta gero eduki ezabatzeko lerroa prest aldaketak ostalaria aurreikusi ez duzun modu batean iristezina bihurtzen badu. Ibilbideak berrabiaraztea gainditu behar badu, jarri ostalariaren sare-konfigurazioan eta ez shell profil batean, eta probatu berrabiaraztea harengan fidatu aurretik. Shell-ean soilik existitzen den ibilbide bat, gehitu zuen shell-ean, bi aldiz araztuko duzun ibilbide bat da.