VPN-gateway hat IP-trochstjoering nedich: wat te kontrolearjen

Jo klant kin it adres fan 'e gateway pingje wylst elke boarne dêrefter ûnberikber bliuwt. Dat pear waarnimmings beskriuwt in host dy't mei jo praat en in router dy't net rûtet, wat ferskate rollen op deselde masine binne. Trochstjoering is de skeakel tusken har.

De twa rollen binne ûnôfhinklik, en de twa adresfamyljes ek.

Antwurdzje op syn eigen adres bewiist neat

As in pakket nei de gateway sels adressearre is, brûkt de lokale stapel it op en der bart gjin trochstjoeringsbeslissing. Dêrom fertelt in súksesfolle ping nei it tunneladres of in behear-ynterface jo dat de daemon libbet en de tunnel oan is, wylst it neat seit oer ferkear dat foar in netwurk efter de doaze bestimd is. De kernel rieplachtet syn trochstjoeringspaad allinne foar pakketten dy't net nei him adressearre binne.

Lês de eask as in rol, net as in ynstelling: dizze host moat pakketten tusken twa ynterfaces ferpleatse. In laptop dy't allinne in ôfstânnetwurk berikke moat, nimt dy rol nea, en in side-oant-side-einpunt altyd. De eask sa lêze ferklearret wêrom't in wurkjende klantkonfiguraasje mislearret as dy nei in gateway ferpleatst wurdt.

Deselde sin jildt foar de firewall foar de trochstjoeringsbeslissing, dy't syn eigen belied hat oer wat trochjûn wurde mei.

Kontrolearje elke adresfamylje apart

IPv4-trochstjoering is ien skeakel, en IPv6-trochstjoering is in oare mei syn eigen gedrach per ynterface. It ynskeakeljen fan de earste seit neat oer de twadde, en in dual-stack-klant kin de helte fan in netwurk berikke wylst de rest tsjuster bliuwt. Twa klanten fan ferskate famyljes kinne it dêrom ûniens wêze oer deselde gateway. Freegje hokker famylje de mislearjende klant brûkte foardat jo ien fan beide ynstellingen bewurkje. Befêstigje beide foardat jo konkludearje dat it routingûntwerp ferkeard is.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Op in soad distribúsjes is de wearde dy't jo by runtime lêze dêr troch in tsjinst of in konfiguraasjebestân pleatst, sadat in feroaring mei in ienmalige opdracht by it werstarten ferdwine kin. Fyn it bestân dat de ynstelling eigent foardat jo de runtime-wearde bewurkje.

Trochstjoering is ien fan fjouwer easken

In wurkjende trochjûne stream hat fjouwer dingen tagelyk nedich: de klant moat witte dat de bestimming efter de tunnel is, de gateway moat in rûte foarút hawwe, antwurden moatte in paad werom hawwe, en de firewall moat it ferkear tastean. Boarnferfanging heart by dat ûntwerp as opsje ynstee fan regel, om't in privee rûte netwurk mei symmetryske paden it net nedich hat en in asymmetrysk ien meastentiids wol. Elk fan de fjouwer mislearret ûnôfhinklik, dêrom ferpleatst it reparearjen fan ien selden it symptoom. Skriuw alle fjouwer op foardat jo ien fan har feroarje.

Wolkplatfoarms foegje in fyfde oerweging ta. Guon twinge boarne- en bestimmingskontrôles op eksimplaren ôf, wat trochjûne pakketten weilitten lit, nettsjinsteande hoe't de kernel fan 'e gast konfigurearre is. De eigen netwurkdokumintaasje fan it platfoarm is dêr it gesach, net de sysctl-útfier yn 'e VM.

Test fan de klant, net fan de gateway

In test dy't yn 'e eigen shell fan 'e gateway draait, giet troch gjin inkel diel fan it trochstjoeringspaad dat jo krekt ynskeakele hawwe. Generearje it ferkear fan 'e klant mei it probleem, en befêstigje dat it eat efter de gateway berikt ynstee fan de gateway sels. Dat is de iennige test dy't de rol útoefent dy't jo feroare hawwe.

Hâld listener-regels en trochstjoeringsregels apart yn jo holle en yn it feroaringslog. It iepenjen fan 'e VPN-poarte lit klanten ta it tsjinst yn; it jout har neat op it netwurk dêrefter, en de beide lykje identyk yn in firewallslist dy't oer jierren groeid is.

As pakketten oankomme en de tsjinst de brûker dan ôfwiist, binne jo foarby netwurken. Gean troch mei applikaasje-autorisearring ynstee fan it trochstjoeringsbelied wer te ferbreedzjen.