Wêrom't in tsjinner efter in VPN-klant troch de tunnel antwurdet

Ynkommende ferbiningen nei in host dy't ek in VPN-klant draait, mislearje op in hiel spesifike manier: de hânskud komt oan, de daemon antwurdet, en de klant krijt neat werom. Neat blokkearret de poarte. It antwurd ferliet de tunnel, om't de tunnel de standertrûte besit en de kernel antwurden rûtelet neffens bestimming, net neffens it ûnthâld fan wêr't it fersyk weikaam. De daemon is goed en de poarte is iepen.

It antwurd wurdt rûtele, net ûnthâlden

In VPN-klant dy't in standertrûte ynstallearret, foeget in ynfier ta dy't it LAN-poarte oertreft, itsij troch metryk, itsij troch de romte yn twa krekter helten te dielen. Utgeande pakketten kieze no it tunnel-ynterface. De kernel freget nea wêr't it pakket dat beantwurde wurdt oarspronklik kaam. Dy iene weglating ferklearret elk symptoom dat folget.

De foarút-rjochting wurdt neffens bestimming rûtele, en de efterút-rjochting ek. It antwurd is adressearre oan in iepenbiere klant, dy't de tunnel graach drage sil. De fiere kant krijt in pakket waans boarne er net besit, smyt it fuort, en de oarspronklike klant wachtet oant de tiid útrint.

Strikt omkearde-paad-filtern kin it ynkommende pakket falle litte foar't de daemon it ea lêst. Kontrolearje earst dy teller, om't in filterfal en in rûteflater fan bûten itselde lykje.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

It earste kommando lit sjen hokker standertrûte no wint. It twadde rapportearret oft strikte filtering globaal of per ynterface jildt, en it tredde lit elke trochstjoerkeatlingregel sjen dy't belutsen wêze kin.

Trije manieren om de weromrûte te behâlden

De tsjinstbestimming fan 'e tunnel útslute is de nauuste opsje. In hostrûte rjochte op it LAN-poarte, plus in daemon bûn oan it fysike adres ynstee fan elk adres, hâldt dy iene stream bûten de tunnel. De feroaring is lokaal en maklik werom te draaien.

Beliedsrouting is it algemiene antwurd. In regel basearre op it boarne-adres of op in firewallmerk kiest in tabel waans standert nei it WAN-poarte wiist, wylst de eigen ferbiningen fan 'e host de tunnel bliuwe brûken. Hâld de prioriteit eksplisyt sadat de regel letter net oerskade wurde kin.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

De earste twa kommando's bouwe it alternative paad foar antwurden mei boarne yn it iepenbiere adres. It tredde freget de kernel hokker paad krekt dy boarne en bestimming nimme soe, en sa befêstigje jo dat de regel wat effekt hat.

Boarne-oersetting is de tredde opsje en de iennichste dy't in router oerlibbet dy't al NAT docht foar de tsjinst. It antwurd moat werom nei dy router, en maskearjen nei it WAN-ynterface berikt dat wylst it de klant foar de tsjinstlogboeken ferberget. It standertpaad mei de hân ferfange nei it ferbinen is in diagnostyk, om't de klant de tabel by de folgjende werferbining oerskriuwt.

As de doaze ek foar in LAN rûtelet

Deselde flater ferskynt ien hop fierder as de host foar apparaten efter him rûtelet. In ynkommende ferbining wurdt trochstjoerd nei in yntern apparaat waans iennichste weromrûte de tunnel is, en it antwurd berikt de eksterne klant fan it adres fan 'e provider. It ynterne apparaat wurket de hiele tiid korrekt.

Ferbiningstracking sjocht dan in antwurd foar in stream dy't it nea registrearre en smyt it fuort. Bestimmingsoersetting leveret de ynkommende ferbining by it apparaat, en boarne-oersetting lit it antwurd lykje as kaam it fan 'e router sels.

In beliedsrûte dy't de trochstjoerde poarte op 'e WAN hâldt wylst it eigen ferkear fan 'e router de tunnel brûkt, is it skjinere ekwivalint. Sûnder boarne-oersetting is it antwurd adressearre oan 'e eksterne klant, en it ynterne apparaat hat hielendal gjin rûte foar dat adres.

Trije ûndersiken dy't de oarsaken skiede

Doch trije ûndersiken: in ferbining nei de doaze fan it ynternet, in ferbining dêrút nei in iepenbiere host, en in namme-opfrege. As de earste twa ferskille, is it werompaad skuldich. As nammen beide kanten mislearje, is de oplosser in oare flater dy't gewoan deselde tunnel dielt.

Meitsje earst de rûtefrage goed, sjoch dan nei nammen. De twa minge is hoe't in wurkjende tsjinner de skuld krijt foar in stikken oplosser.

Skriuw op hokker ynterface de útsûndering neamt en hâld de konfiguraasje ûnder ferzje-behear. In regel skreaun tsjin in ynterface dy't nei in upgrade omneamd wurdt, slagget hjoed en mislearret nei de folgjende werstart.