LAN-klanten negearje de VPN fan de router oant beliedsrouting ynskeakele wurdt

De router berikt it ynternet troch syn tunnel, wylst in laptop derachter noch altyd it ISP-adres rapportearret. Akseptearregels tafoegje helpt net, en dat mislearjen is learyk: filtering antwurdet oft in pakket troch mei, net wêr't it hinne giet. De ynterfacekar is al makke troch in routingsoersyk dat neat wit fan dyn klantelist. Meitsje it oersyk klear, dan is de firewall net mear de fertochte.

In filterregel kin gjin ynterface kieze

Pakketstream op in Linux-router docht earst it routingbeslút en dêrnei de forward-heak. As in regel oerienkomt mei it útgongstunnelapparaat, hat de kearn al besletten dat de tunnel de útwei is. As de haadtabel noch altyd de WAN-standertrûte ferkiest, is it pakket ûnderweis nei de ISP en sjocht de akseptearregel dy'tst krekt skreaun hast it nea. Dat iene oarderefeit ferklearret wêrom't in side fol nije firewallregels neat feroaret.

It foarbyld hjirûnder brûkt in LAN fan 192.168.8.0/24 op br-lan, in tunnelapparaat tun0, en ien set-top box op 192.168.8.23 dy't de tunnel nimme moat.

Lês it oersyk foardatst regels bewurkest

Freegje de kearn in rûte op te lossen út namme fan dy klant. It antwurd befettet it útgongsapparaat en it boarneadres dat keazen wurde soe, en dat is alles watst nedich hast om de diagnoaze te befêstigjen. As it antwurd it WAN-apparaat neamt, hat it pakket nea in kâns hân om dyn regel te berikken.

ip -4 route get 198.51.100.7 from 192.168.8.23

Werhelje de fraach foar in klant dy't op it gewoane paad bliuwe moat. As beide antwurden itselde apparaat neame, is der noch gjin belied per boarne yn it spul, en heart de oplossing by routing ynstee fan filtering.

Keppelje in tabel oan de klanten dy'tst dekke wolst

Beliedsrouting foeget in regelsoersyk foar de haadtabel yn. Bou in tabel wêrfan't de standertrûte de tunnel is, en keppelje dy tabel dan oan in selektor: in ynfiertinterface, in boarneadres of in firewallmark. Prioriteiten beslisse de folchoarder, en de haadtabel stiet fier ûnder yn 'e list op 32766, dus in regel mei in leech nûmer wurdt earst rieplachte. Ynterfaceselektors dekke elke klant op 'e brêge; adresselektors dekke ien masine.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Firmware-ynterfaces toane meastal deselde objekten as in side foar beliedsrouting of VPN-belied. In apparaatlist dêr is makliker te ûnderhâlden as hânskreaune regels en oerlibbet meastal fernijingen dy't de regelsyntaksis feroarje.

Kies de selektor mei opsetsin. In ynterfaceregel is koart en takomstfêst, mar fangt ek it eigen beheartraffyk fan 'e router dat op dy brêge oankomt. In boarneregel is krekt en moat bewurke wurde as de apparaatlist feroaret. Skriuw de kar op, want de folgjende persoan dy't freget wêrom't ien apparaat oars docht, sil it nedich hawwe.

Hâld lokale bestimmingen bûten de tunnel

In nije tabel ken allinnich de rûtes dy'tst deryn setst. It LAN-prefiks ûntbrekt, dus printer- en NAS-traffyk soe de standertrûte fan 'e tunnel folgje en ferdwine. In throw-rûte einiget it oersyk yn dizze tabel en jout it beslút werom oan 'e haadtabel.

ip -4 route add throw 192.168.8.0/24 table 200

Sla dy rûte oer en lokale dielen brekke, en de eigen behersesje fan 'e router kin ferdwine as de selektor breder is as bedoeld. Regel dan de boarnevraach: tunnelpakketten dy't noch LAN-adressen drage, hawwe nedich dat de oare kant in weromwei ken, wylst masquerading op 'e tunnel dy eask fuorthellet en ek de klantidentiteit fuorthellet dy't de oare kant sjen soe.

Regels en rûtes dy't by it draaien tafoege wurde, binne fuort nei in werstart of in firmwarefernijing. Foegje se ta oan it opstartmeganisme fan 'e router, werstarte ien kear, en test wer fanôf de klant: syn iepenbiere adres, in twadde klant dy't op 'e WAN bliuwe moat, en de tunneltellers by in nije ferbining.