Ceangailte le OpenVPN ach ní luchtaíonn aon rud: siúlóid ón gcliant amach

Deir fuinneog an chliaint Connected, tá seoladh an tolláin ann, agus tá an brabhsálaí fós ag casadh. Tá an teaglaim sin normálta, mar ní chruthaíonn cruthú láimhe rathúil ach amháin gur tógadh an tollán; ní deir sé faic faoi cé acu an ndéanfaidh an freastalaí do phaicéid a sheoladh ar aghaidh, a bhfoinse a athscríobh nó freagra a thabhairt ar do chuid ceisteanna DNS. Is é an botún is mó a dhéanann daoine ná cumraíocht an fhreastalaí a oscailt ar dtús. Oibrigh amach ón gcliant ina ionad, mar deir gach céim thíos an fiú an chéad cheann eile a sheiceáil ar chor ar bith.

Tosaigh ar an gcliant agus oibrigh amach

Rith trí thástáil san ord seo agus scríobh síos cá dteipeann an chéad cheann. Ping seoladh tolláin an fhreastalaí, rud a chruthaíonn go bhfuil an tollán féin ag iompar tráchta. Ping seoladh poiblí de réir uimhreach, rud a chruthaíonn seoladh ar aghaidh agus aistriú gan réiteach ainmneacha a bheith i gceist. Ansin déan iarracht óstainm a réiteach, arb é an t-aon tástáil a úsáideann DNS. Baineann gach toradh ciseal iomlán den amhras.

Ná léim go dtí an tríú tástáil mar go mbraitheann brabhsálaí níos tapúla. Clúdaíonn luchtaithe leathanach teipthe na trí chiseal ar fad ag an am céanna, agus is ansin a thosaíonn daoine agus a atógann siad tollán a bhí ag obair. Ní deir leathanach teipthe leat cé acu de na trí cinn a bhris.

Taispeánann dhá ghabháil cá stopann na paicéid

Agus ping chuig seoladh poiblí ag rith ón gcliant, tóg gabháil amháin ar chomhéadan an tolláin agus ceann eile ar an nasc uachtarach a cheaptar a shroicheann an t-idirlíon. Rith an dá cheann ag an am céanna ionas go dtagann na hamstampaí le chéile.

sudo tcpdump -ni tun0 -c 20 icmp
sudo tcpdump -ni enp1s0 -c 20 icmp

Má thagann na hiarratais ar an tollán agus gan teacht choíche ar an nasc uachtarach, chaith an freastalaí iad idir an tollán agus an sreang, agus is é an chúis seoladh ar aghaidh nó polasaí balla dóiteáin an tseolta ar aghaidh, ní NAT. Má thagann siad ar an dá cheann, rinne an freastalaí a chuid féin agus tá an freagra in easnamh níos faide amach, rud a dhíríonn ar aistriú, ar scagaire uachtarach nó ar shrianadh ón soláthraí.

Faigh ainm an naisc uachtaraigh ón tábla ródaithe, ní ó theagascóir. Is annamh a mheaitseálann íomhánna scamall agus oiriúnaitheoirí athainmnithe an comhéadan samplach i dtreoir, agus breathnaíonn gabháil a tógtar ar an ngléas mícheart go beacht cosúil le freastalaí nach seolann ar aghaidh:

ip -4 route get 9.9.9.9

Is é an réimse dev san aschur sin an t-ainm a bheidh ag teastáil ón riail NAT níos déanaí, mar sin coinnigh é.

Is lasc tsearcnúic agus polasaí balla dóiteáin é an seoladh ar aghaidh

Caithfidh an tsearcnúic aontú seoladh ar aghaidh ar chor ar bith. Léigh an luach reatha, ansin déan an socrú buan in ionad é a scríobh sa tsearcnúic atá ag rith amháin:

sysctl net.ipv4.ip_forward
printf 'net.ipv4.ip_forward=1\n' > /etc/sysctl.d/70-vpn-forward.conf
sysctl --system

Níl sa seoladh ar aghaidh ach leath. Ar óstach a úsáideann UFW socraítear polasaí an tseolta ar aghaidh in /etc/default/ufw agus caithfidh sé a bheith ACCEPT sula dtagann athluchtú i bhfeidhm. Fágann titim réamhshocraithe ar an gcosán seolta ar aghaidh an cruthú láimhe go hiomlán sláintiúil agus é ag caitheamh go ciúin gach paicéad a dhéanann iarracht an tollán a fhágáil, agus is é sin go beacht an comhartha ar thosaigh tú leis.

Tá an cheist chéanna ag óstaigh a bhainistíonn nftables go díreach i gcomhréir dhifriúil. Féach ar na cuntair ar an slabhra seolta ar aghaidh agus tástáil chliaint ag rith, mar breathnaíonn slabhra a gcuirtear comhairle air agus slabhra a chaitheann mar an gcéanna i gcomhad cumraíochta.

Ainmnigh an fíor-chomhéadan amach sa riail NAT

Baineann aistriú foinse leis an gcomhéadan a fhágann an t-óstach i ndáiríre, leis an linn a dháileann an freastalaí. Caithfidh an dá leath den riail sin cur síos a dhéanamh ar an réaltacht, agus níl ceachtar acu roghnach.

iptables -t nat -A POSTROUTING -s 10.44.0.0/24 -o enp1s0 -j MASQUERADE

Is é an teip chlasaiceach riail a cóipeáladh ó threoir a deir -o eth0 ar mheaisín a bhfuil a oiriúnaitheoir ainmnithe rud éigin eile. Suiteáiltear an riail gan rabhadh, ní mheaitseálann sí aon rud, agus níl idirlíon ag an gcliant fós. Is é an linn an leath eile den bhotún céanna: má dháileann an freastalaí 10.44.0.0/24 agus má chlúdaíonn an riail 10.8.0.0/24, ní mheaitseálfaidh aon rud choíche.

Féach ar na cuntair in ionad muinín a chur i dtéacs na rialach. Tuairiscíonn an liosta paicéid in aghaidh na rialach, agus fanann riail nach meaitseálann choíche ag nialas, is cuma chomh ceart agus a bhreathnaíonn sí. Tabhair nóiméad de thrácht cliaint fíor di sula léann tú aon rud isteach sa uimhir sin:

iptables -t nat -L POSTROUTING -v -n

Ciallaíonn cuntar paicéad nialasach tar éis fíorthástála cliaint go bhfuil an mheaitseáil mícheart, ní go bhfuil an tollán briste. Nuair a mheaitseálann sé, sábháil an tsraith rialacha ionas go maireann sí athbhútáil; imíonn deisiú nach maireann ach i stair do bhlaosc ag an gcéad athbhútáil.

Má tá an freastalaí ina shampla NAT scamall freisin, tá focal ag an ardán chomh maith. De ghnáth teastaíonn seiceáil foinse agus cinn scríbe díchumasaithe ó shampla a aistríonn seoltaí san áit a dtairgeann an soláthraí an socrú sin, agus caithfidh an calafort VPN féin a bheith inrochtana ón taobh amuigh.

Is é DNS an dara teip taobh thiar den chéad cheann

Is fadhb réitigh é ping de réir seoladh a oibríonn agus ainmneacha ag teip, agus tá a chúis féin aige. Seolann cliant a choinníonn a réiteoir áitiúil na ceisteanna sin isteach i dtollán iomlán agus fanann sé le freagra nach dtagann choíche, mar tá an réiteoir áitiúil anois ar an taobh mícheart den ród.

Brúigh réiteoir ón bhfreastalaí ionas go bhfoghlaimíonn an cliant cá bhfiafraíonn sé. Tugann dhá iontráil cúltaca don chliant mura bhfuil an chéad cheann inrochtana, agus ba cheart go mbeadh an dá cheann ina réiteoirí a cheadaíonn an tollán i ndáiríre.

push "dhcp-option DNS 9.9.9.9"
push "dhcp-option DNS 149.112.112.112"

Féadfaidh cliaint Windows titim siar ar an réiteoir áitiúil mar sin féin, agus is é sin go beacht a bhfuil block-outside-dns ann chun é a chosc, ar chostas ainmneacha nach féidir ach leis an líonra áitiúil a réiteach a chailleadh. Is minic a dhéanann cliaint Linux le systemd-resolved neamhaird de réiteoir a brúdh mura suiteálann script é, mar sin seiceáil resolvectl status don ghléas tolláin sula dtagann tú ar an gconclúid gur tugadh neamhaird don bhrú.

Críochnaigh an tsiúlóid mar a bhíonn sé ag úsáideoir. Luchtaigh fíorleathanach ón gcliant, deimhnigh an seoladh as a dtagann sé, atosaigh an freastalaí, athcheangail agus déan na trí thástáil arís. Is é an dara pas sin an t-aon cheann a chruthaíonn gur mhair na rialacha sábháilte, polasaí an bhalla dóiteáin agus an réiteoir a brúdh go léir le chéile.