Sroicheann cliant VPN ródáilte an freastalaí ach ní óstaigh an LAN

Tagann an tollán aníos, déanann an cliant ping ar fhreastalaí VPN, agus ní fhreagraíonn sciar ar mheaisín aon léim níos faide i gcéin riamh. Ní mhíníonn aon rud i gcumraíocht an chliaint é, mar d'fhág an t-iarratas an cliant agus shroich sé. Is é an turas ar ais a theip, agus is é an gléas a theip de ghnáth tairseach an LAN seach óstach VPN. Míníonn riandú an phaicéid freagartha an aicme iomlán comharthaí.

Lean an Freagra, Ní an t-Iarratas

Díchriptíonn freastalaí VPN paicéad an chliaint agus seolann sé ar aghaidh chuig an LAN é agus seoladh an chliaint fós sa réimse foinse. Freagraíonn an t-óstach ceannscríbe an seoladh sin, agus anois cinneann a thábla ródála féin gach rud. Níl aon eolas ag a thairseach réamhshocraithe faoi linn an tolláin, mar sin fhágann an freagra i dtreo an tsoláthraí idirlín agus caitear é éigin ar an mbealach sin.

Ar an gcliant is é an comhartha ná teascth ama ciúin: gan diúltú, gan athshocrú, díreach faic. Crochann brabhsáil sciar, tuairiscíonn ping nach bhfuil freagra ann, agus breathnaíonn logaí an fhreastalaí sláintiúil mar rinne an freastalaí a chuid oibre.

Cuir an Bealach ar Ais san Áit a bhFéachann na hÓstaigh

Fiafraíonn gach óstach LAN dá thairseach réamhshocraithe, mar sin is í an tairseach an t-aon ghléas a chaithfidh a fhios a bheith aige cá bhfuil linn an tolláin. Cuir ród statach leis ansin agus faigheann gach óstach an bealach ceart gan teagmháil.

Má dháileann an tairseach a seoladh féin mar rogha DHCP, dáil an ród ar an mbealach sin ionas go dtógfaidh meaisíní nua é go huathoibríoch. Seachas sin maireann an ród i gcomhad cumraíochta amháin agus imíonn sé ag an gcéad atógáil eile.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Cén Fáth a bhFeictear do NAT Foinse É a Dheisiú

Baineann cumhdach linn na gcliant taobh thiar de sheoladh fhreastalaí VPN an fhadhb amach trí sheoladh an chliaint a bhaint den phaicéad. Tagann freagraí ar ais chuig an bhfreastalaí ansin, a bhfuil a fhios aige cheana conas an tollán a shroich, agus oibríonn gach rud. Is é an costas ná nach féidir le hóstaigh inmheánacha a fheiceáil cé atá sa chliant, agus breathnaíonn gach nasc amhail is go dtagann sé ó mheaisín amháin.

Tá an mhalartú sin ceart uaireanta, mar shampla nuair nach féidir ród statach a thabhairt do ghléas díoltóra. Ná déan an riail níos leithne ná an linn reatha, mar stopann riail a scríobhadh do /24 de bheith oiriúnach an lá a n-athuimhritear an linn go /16, agus is é an chéad chomhartha ná beart cliant nua a nascann agus nach sroicheann aon rud.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Teastaíonn Trí Shocrú ón mBealach Scamall

I VPC tagann an bhearna chéanna ar ais i bhfoirm eile, mar níl aon ród ag an bhfo-líonra don raon cliant ar chor ar bith. Teastaíonn iontráil ón tábla ródála don linn tolláin a dhíríonn ar chomhéadan líonra na cásála, agus teastaíonn an tseiceáil foinse agus ceannscríbe múchta ar an gcomhéadan ionas go nglacfaidh an t-ardán le paicéid nach é a sheoladh féin a bhfoinse. Caithfidh grúpaí slándála agus ACLanna líonra an linn a ligean isteach sa dá threo freisin.

Cruthaíonn gach easnamh teip pháirteach ar leith. Fág iontráil an tábla ródála ar lár agus freagraíonn cásálacha príobháideacha isteach i bhfo-líonra nach féidir leis an bhfreagra a iompar ar ais chuig an linn. Agus an tseiceáil fós ar siúl, caitheann an t-ardán an freagra tar éis don chásáil é a sheoladh cheana. Gan riail an ghrúpa slándála ní thagann an t-iarratas féin riamh, agus feiceann an cliant an teascth ama sraith níos luaithe.

Rith na Seiceálacha san Ord Seo

Deimhnigh an t-ardú agus an beartas scagtha sula gcuireann tú an milleán ar ródú, mar teipeann ar óstach nach n-ardóidh ar an mbealach ciúin céanna. Ansin léigh an socrú éifeachtach bealaigh ar ais ar an gcomhéadan a iompraíonn an tollán, ós rud é gur féidir le scagaire dian freagraí a chaitheamh a thagann ó threo gan choinne.

Críochnaigh le gabháil a tógadh ar óstach an LAN agus an cliant ag pingáil air. Cruthaíonn iarratas a thagann gan freagra comhoiriúnach an bealach ar ais, agus aistríonn iarratas nach dtagann riamh an locht ar ais chuig an bhfreastalaí nó an tollán.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Tá an tseiceáil foinse agus ceannscríbe doiciméadaithe sa treoir um chomhéadan líonra leaisteach. Socraigh í ar an gcomhéadan a iompraíonn trácht an tolláin i ndáiríre, ní ar oiriúnóir neamhghaolmhar atá ceangailte leis an gcásáil chéanna.