Rochtain LAN OpenVPN briste? Seiceáil criosanna, bealaí agus an bealach ar ais

Tuairiscíonn an tollán nasc rathúil, lódálann leathanach an ródaire féin, agus téann mapáil tiomántáin chuig meaisín taobh thiar de in éag fós. Níl aon rud sa mheascán sin contrártha: freagraíonn an ródaire mar é féin, agus is cinneadh eile a dhéantar in áit eile é teacht ar aon rud taobh thiar de. Oibrigh na seiceálacha thíos in ord agus stop ag an gcéad teip, mar go seasann gach ceann ar an gceann roimhe. Nuair a éiríonn leis an gceithre cinn, tá an locht os cionn an tolláin seachas istigh ann.

Cén scagaire a fheiceann paicéad ag dul chuig an LAN

Iontóitear paicéad a sheoltar chuig an ródaire go háitiúil; caithfear paicéad a sheoltar chuig óstach taobh thiar de a sheoladh ar aghaidh, agus breithníonn ballaí dóiteáin an dá chás ar leithligh. Mar sin ní deir cead chun an ródaire a bhaint amach aon rud faoi chead chun dul tríd. Cuireann firmware a cheiltíonn a thacair rialacha an dá rud i bhfeidhm fós, de ghnáth mar roghnóir a thairgeann an LAN, an t-idirlíon nó iad araon. Má fhágann an roghnóir an LAN ar lár, ní bheidh aon tábhacht le seiceáil níos déanaí.

Déanann OpenWrt an deighilt sin inscrúdaithe, agus is fiú an t-idirdhealú a léamh uair amháin. Teastaíonn riail seolta ón gcrios a chríochnaíonn an tollán a dhíríonn ar chrios an LAN, agus ní rialaíonn riail ionchuir ach seirbhísí ar an ródaire féin. Is é an gnáththoradh ar an riail seolta ar iarraidh sin leathanach riaracháin a oibríonn in aice le LAN marbh.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Féach ar sprioc sheolta an chrios a iompraíonn an tollán: is é accept an rud a theastaíonn ón dréimire, agus míníonn reject gach amú thíos. Cruthaíonn dhá shocrú chomharsanachta an tsiomptóm céanna, mar sin fág as iad agus tú anseo. Ceileann aonrú gan sreang óstaigh shreangaithe ó chliaint gan sreang, agus is féidir le ródaire a mheasann óstaigh LAN díomhaoin a bheith as líne na freagraí a chaitheamh amach fiú tar éis don seoladh oibriú.

Cén fáth a dteastaíonn an réimír brúite ó thollán scoilte

Tá an réimír LAN ag cliant a sheolann an trácht ar fad tríd an tollán cheana féin trína bhealach réamhshocraithe, mar sin níl aon rud le cur leis. Is é an tollán scoilte an cás a éilíonn an réimír a lua go sainráite, mar nach luann aon rud eile sa chumraíocht é. Cuir an treoir le cumraíocht an fhreastalaí agus athlódáil an tseirbhís.

push "route 192.168.50.0 255.255.255.0"

Na próifílí ina bhfuil route-nopull déanann siad neamhaird de bhealaí brúite, mar sin baineann an réimír chéanna le comhad an chliaint ina ionad. Ar aon chaoi, deimhnigh gur shroich an iontráil seachas glacadh leis, mar go bhféachann forscríobh ciúin go díreach cosúil le fadhb balla dóiteáin.

ip route show | grep 192.168.50

Iarrann piaraí suíomh-go-suíomh níos mó ná brú. Caithfidh an freastalaí foghlaim cé na réimírí atá taobh thiar den phiaraí sin, rud a dhéanann líne iroute ina chomhad client-config-dir, agus teastaíonn bealach comhoiriúnach isteach sa tollán óna thábla féin.

Teastaíonn seoladh ar féidir leis an bhfreagra teacht air

Níl sa seoladh ar aghaidh ach leath an mhalartaithe, mar caithfidh óstach an LAN freagra a thabhairt ar sheoladh i linne an tolláin. Is gnách le ródairí beaga é sin a shocrú trí an fhoinse a aistriú ar chrios an tolláin, ionas go ndírítear an freagra chuig an ródaire agus nach dteastaíonn cumraíocht in aon áit eile. Bain an t-aistriú sin agus teastaíonn a bhealach féin chuig an linne ón óstach, rud a fhaigheann sé saor in aisce nuair is é an ródaire a gheata réamhshocraithe. Freagraíonn óstach le seoladh socraithe de láimh agus geata difriúil tríd an ngeata sin ina ionad, agus feiceann an cliant seisiún ag oscailt agus ansin ag stopadh.

tcpdump -ni tun0 host 192.168.50.20

Rith é sin ar an ródaire agus an cliant ag athrá a iarratais, agus léigh ceann scríbe an fhreagra seachas an t-iarratas féin. Ciallaíonn freagra atá dírithe ar an linne go n-oibríonn an bealach ar ais agus go bhfuil an locht níos faide istigh. Ciallaíonn easpa freagra ar fad nár ghlac an t-óstach an paicéad riamh, rud a chuirfidh ar ais chuig an tacar rialacha thú.

Dréimire a chríochnaíonn san áit cheart

Aimsíonn ceithre sheiceáil an ciseal, agus is ordú amháin gach ceann seachas breithiúnas. Rith iad in ord agus stop ag an gcéad teip. Tá an t-ord níos tábhachtaí ná na horduithe, mar cheileann céim níos déanaí a n-éiríonn léi an chúis ar theip ar cheann roimhe.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Baineann ainmneacha le deireadh an dréimire, riamh leis an tús. Cuireann sciar a fhreagraíonn mar 192.168.50.20 ach nach bhfreagraíonn mar nas.local in iúl go bhfuil fadhb le réiteach ainmneacha nó le hiarmhír chuardaigh, agus ní féidir le heagarthóireacht balla dóiteáin ceachtar acu a athrú.

Taifead an chéad chéim a theip, ansin tabhair a bhealach féin do phoirt seirbhíse, mar is riachtanais ar leithligh é éisteoir agus cead óstaigh. Teastaíonn an dá rud ó chomhroinnt comhad, deasc chianda agus sruthanna ceamara, agus caitheann balla dóiteáin óstaigh a chuireann muinín i bhfo-líon an LAN ach ní i linne an tolláin an cliant amach agus ping fós ag éirí leis. Nuair a éiríonn le gach seiceáil agus an feidhmchlár fós ag teip, tá an locht os cionn an tolláin: seirbhís atá ceangailte le comhéadan amháin, nó seachfhreastalaí atá cumraithe ar an gcliant.