Oibríonn croitheadh láimhe PiVPN, stopann leathanaigh: seiceáil an MASQUERADE

Taispeánann do ghuthán an tollán mar nasctha, tuairiscíonn an cliant seoladh príobháideach, agus fanann an chéad leathanach crochta leathbhealach tríd an lódáil. Cuireann an meascán sin formhór na ndaoine chuig socruithe siffear agus teocht an CPU, áit nach bhfuil aon rud cearr i ndáiríre. Tháinig an tollán aníos, mar sin chríochnaigh an chaibidlíocht; ba é an chéad chéim eile a theip, nuair a dhéanann an freastalaí iarracht paicéid an chliaint a thabhairt don idirlíon. Siúil an chonair chéanna a thógann na paicéid sin, agus is iondúil go bhfeictear an mhíréir i líne amháin den tábla NAT.

Tosaigh ón méid is féidir leis an gcliant a bhaint amach agus nach féidir

Ón gcliant nasctha, lódáil leathanach atá ar an idirlíon poiblí agus tabhair faoi deara an dteipeann sé láithreach nó an stopann sé leathbhealach. Ansin oscail acmhainn ar sheoladh príobháideach an fhreastalaí VPN féin agus cuir an dá thoradh i gcomparáid.

Is é seoladh tolláin a fhreagraíonn do ping agus na suíomhanna poiblí ag dul thar am ná comhartha fadhb aistrithe nó aistriúcháin, ní croitheadh láimhe briste. Ní féidir le painéal stádais an chliaint féin iad a idirdhealú, mar ní fhios aige ach go bhfuil an cainéal rialaithe aníos. Seiceáil comhéadan an tolláin ar an bhfreastalaí le ip -br addr show tun0 agus deimhnigh go dtiteann an seoladh a shanntar don chliant laistigh den linn a chumraigh tú. Mura n-aontaíonn an linn agus seoladh an chliaint, ceartaigh é sin ar dtús, mar tagann gach riail thíos leis an linn.

Ansin, fiafraigh den fhreastalaí cén comhéadan a d’úsáidfeadh sé chun seoladh poiblí a shroicheadh. ip route get 203.0.113.9 priontálann sé an gléas agus an fhoinse roghnaithe ar a chéad líne. Scríobh síos ainm an ghléis sin, mar sin an luach a chaithfidh a bheith sa riail NAT.

Léigh an riail a shocraíonn an dtagann na paicéid amach

Ní athscríobhann MASQUERADE paicéad ach amháin nuair a fhágann an paicéad tríd an gcomhéadan a ainmnítear sa riail. Ní dhéanann riail atá teoranta do ghléas sreangaithe aon rud don trácht a fhágann thar Wi-Fi, agus coinníonn an paicéad a sheoladh foinse príobháideach an bealach ar fad go dtí an ródaire uachtarach. Níl aon bhealach ar ais ag an ródaire sin chuig do linn tolláin, mar sin caitheann sé an freagra amach, agus feiceann an cliant nasc a osclaíonn agus a fhaigheann bás ansin. Scálaíonn an tsíomptóm le cé mhéad den leathanach a thagann sula mbíonn gá leis an gcéad fhreagra.

Liostaigh an tábla beo agus léigh an colún comhéadain amach seachas díreach cuardach a dhéanamh don fhocal MASQUERADE. Tá aschur na foirme curtha leis níos éasca le cur i gcomparáid ná liosta formáidithe:

ip -br addr show tun0
ip route get 203.0.113.9
sudo iptables -t nat -S POSTROUTING

Ar Raspberry Pi a d’úsáid Ethernet uair amháin agus a úsáideann Wi-Fi anois, is é an t-ainm sean an scéal iomlán beagnach i gcónaí. Thaifead an suiteálaí cén gléas a bhí i láthair ag am an tsocraithe, agus athsheinneann an tacar rialacha sábháilte é ag gach tosaithe. Cuir an gléas ón gcuardach bealaigh i gcomparáid leis an gceann sa riail sula n-athraíonn tú aon rud eile. Má thagann siad le chéile, ní hé an comhéadan do fhadhb agus ba cheart duit bogadh chuig na cuntair sa chuid deireanach. Má tá siad difriúil, is é an ceartú ná eagar ar aon fhocal amháin sa chomhad seasmhachta.

Ceartaigh an tacar rialacha sábháilte, ní hamháin an ceann atá ag rith

Maireann eagarthóireacht ar an tábla beo amháin go dtí an chéad atosú eile, agus sin díreach fada go leor chun tú a chur ina luí go bhfuil an fhadhb réitithe. Maireann na rialacha a thagann ar ais ag tosú i gcomhad a athlódálann pacáiste seasmhachta balla dóiteáin. Ar íomhánna Pi bunaithe ar Debian is iondúil gurb é an comhad sin /etc/iptables/rules.v4.

Tóg cóip sula mbaineann tú leis, ansin cuir comhéadan amach ar an líne MASQUERADE in ionad an ghléis a thaifead tú, mar shampla -o wlan0 in ionad -o eth0. Fág an raon foinse mar atá sé mura bhfuil do linn cliant athraithe. Athlódáil agus deimhnigh go n-ainmníonn an riail an gléas ceart anois:

sudo cp /etc/iptables/rules.v4 /root/rules.v4.bak
sudo iptables-restore < /etc/iptables/rules.v4
sudo iptables -t nat -L POSTROUTING -v -n

Is éasca dhá shocrú cóngarach a dhearmad. sysctl net.ipv4.ip_forward caithfidh sé 1 a thuairisciú, agus ní féidir leis an ródaire uachtarach seoltaí foinse príobháideacha a scagadh é féin.

Cruthaigh go dtéann an riail i bhfeidhm, ansin déan aonrú ar cad atá fós mall

Is iad na cuntair an t-aon chruthúnas macánta gur bhuail riail. Rith an liosta foclach, tosaigh íoslódáil ar an gcliant agus rith arís é. Ba cheart do na colúin phaicéad agus bhíotú a ardú in aice do riail, agus ní thagann riail a fhanann ag nialas fós. Má ghluaiseann na cuntair ach go dteipeann ar na leathanaigh fós, cuir an raon foinse i gcomparáid leis an linn iarbhír le grep -n "^server " /etc/openvpn/server.conf. Má ghluaiseann siad agus na leathanaigh ag lódáil ach go bhfuil an tréchur lag, tá an t-aistriúchán déanta agus tá an fhadhb atá fágtha in áit éigin eile.

Cuir dhá aistriú ón gcliant céanna i gcomparáid, ceann chuig óstach ar an líonra áitiúil agus ceann tríd an tollán chuig an óstach céanna. Mall sa dá chás díríonn sé ar nasc uachtarach an Pi nó ar an nasc Wi-Fi, ní ar an VPN. Mall tríd an tollán amháin díríonn sé ar MTU agus ar atarchur, ar féidir leat iad a scrúdú le ip -s link show tun0 sula n-athraíonn tú aon socrú cripte.

Chun an turgnamh a chealú, cuir an chóip ar ais agus athlódáil arís í, ansin deimhnigh go bhfuil an riail bhunaidh agus a cuntair ar ais. Scríobh an gléas amach agus an t-ordú athlódála i nótaí an fhreastalaí, mar athaimseoidh an chéad athrú nasc uachtarach an mhíréir chéanna. Fanann riail a ainmníonn an gléas mícheart dofheicthe go dtí go dteastaíonn sí ón trácht.