Ní théann freagra VPN suíomh-go-suíomh tríd an tollán
Cinneadh ródaithe ar an taobh thall is ea freagra a sheachnaíonn an tollán. Seiceáil tábla na n-óstach, na roghnóirí agus rp_filter, ansin roghnaigh ród nó NAT.
Chaith mé maidin ar thollán a d’éirigh go glan agus a d’aistrigh trácht in aon treo amháin: d’fhéadfadh an brainse an freastalaí comhad a bhaint amach sa cheanncheathrú, agus fuair gach nasc a osclaíodh ón gceanncheathrú isteach sa bhrainse bás ag an gcéad SYN. Bhí na SAanna suas, bhí cuntair an tolláin ag dul i méid, agus níorbh é an croitheadh láimhe riamh an fhadhb. Bhí an freagra á ródú áit éigin nach gclúdaíonn an tollán, agus baineann an rogha sin leis an taobh thall. Ní iompraíonn VPN suíomh-go-suíomh ach na paicéid a thugann óstach don gheata, agus déanann gach óstach an rogha sin ar leithligh, i ngach treo, óna thábla ródaithe féin.
Ródaítear an dá threo ar leithligh
Ní choimeádann IP aon chuimhne ar threo comhrá. Ritheann gach óstach a sheolann paicéad a chuardach féin ar an réimír is faide, roghnaíonn sé aon chéad chéim eile agus dearmadann sé an cinneadh. Is dhá phaicéad neamhghaolmhara iad an t-iarratas agus an freagra a bhaineann go teagmhasach leis an nasc céanna, agus is céim amháin é an tollán a bhféadfadh ceachtar acu úsáid a bhaint as nó gan a bhaint as. Ní mhúineann aon rud san idirmhalartú IKE don fhreastalaí thall conas do fhoilíon a bhaint amach; ní aontaíonn an chaibidlíocht ach cé na réimíreanna ar féidir a chriptiú.
Is é an comhaontú sin an dara geata. Ar strongSwan is iad na roghnóirí tráchta leftsubnet agus rightsubnet, agus ní chriptítear paicéad a dtiteann a fhoinse nó a cheann scríbe lasmuigh den phéire caibidlíochta, is cuma cad a deir an tábla ródaithe. Is teip chiúin aon-treo é réimír a ródaítear isteach sa tollán ach atá ar iarraidh ó na roghnóirí: breathnaíonn an ród ceart, fágann an paicéad fós go soiléir nó caitear é, agus ní dhéanann ach log charon gearán.
Níl a fhios ag an óstach thall faoi do thollán
Laistigh den LAN thall is paicéad coitianta é an freagra atá dírithe ar do chliant. Ní fheiceann an t-óstach cinn scríbe aon cheanntásc IPsec agus níl cúis ar bith aige an geata VPN a fheabhsú; cuardaíonn sé do réimír, ní fhaigheann sé aon rud níos sonraí ná a ród réamhshocraithe agus leanann sé é. Má threoraíonn an réamhshocrú chuig príomhbhalla dóiteáin, tá ród ar ais isteach sa tollán ag an mballa nó níl. Nuair nach bhfuil, faigheann tú titim chiúin, ICMP unreachable nó freagra a fhágann an comhéadan atá dírithe ar an idirlíon agus a fhaigheann bás.
Is leor dara comhéadan chun é seo a bhriseadh fiú nuair a bhíonn ród ann. NAS a bhfuil nasc bainistíochta aige ar VLAN eile, freastalaí a bhfuil uplink cúltaca aige, riail pholasaí a sheolann raon foinse amháin isteach i ndara tábla: is féidir le haon cheann acu seo an freagra a ghabháil. Ar Linux, nochtann ip rule show agus ip route show table all rialacha agus táblaí a cheileann an liosta réamhshocraithe.
Léigh an cinneadh ar an meaisín a sheolann an freagra
Fiafraigh den eithne sula n-athraíonn tú aon rud, agus tabhair an seoladh foinse di, mar athraíonn rialacha atá ag brath ar fhoinse an freagra.
ip route get 10.10.5.10 from 10.20.30.15
ip rule show
ip route show table all
ss -tn state established "( sport = :445 )"Ainmníonn an t-aschur an comhéadan amach agus an chéad chéim eile. Murab é an comhéadan atá dírithe ar an geata VPN é, tá an locht aimsithe agat, agus is é an obair atá fágtha ná roghnú cá mbaineann an ród. Is beag a chruthaíonn ping ón ngeata anseo: freagraíonn sé le seoladh is féidir leis an óstach thall a chur ina áit, ní le seoladh do ríomhaire glúine.
Ar Windows is iad na comhionainn Find-NetRoute -RemoteIPAddress 10.10.5.10 don chinneadh agus Get-NetRoute don tábla. Cailleann ród a cuireadh leis le New-NetRoute agus a bhfuil méadrach níos airde ná an réamhshocrú aici go ciúin, mar sin léigh an colún méadraí, ní an iontráil. Ansin deimhnigh le paicéid: taispeánann tcpdump -ni any "host 10.10.5.10 and tcp port 445" ar chomhéadan LAN thall an t-iarratas, agus taispeánann an scagaire céanna ar thaobh an tolláin ar tháinig freagra ar ais. Iarratas le feiceáil gan freagra ciallaíonn go ndearnadh an freagra a ródú áit eile nó gur caitheadh é; tugann freagra ar an gcomhéadan mícheart an ciontóir duit sula dteagmhaíonn tú le ród.
Nuair nach é geata an fhreastalaí críochphointe an VPN
Cuireann a lán suíomhanna balla dóiteáin idir na freastalaithe agus an tiúchóir. Seolann an balla dóiteáin sin an freagra ar aghaidh, mar sin teastaíonn ród uaidh do réimír do chliaint atá dírithe ar an geata VPN, agus polasaí seolta sna dhá threo. Déanann feistí stáit níos measa é: thrasnaigh an t-iarratas an balla dóiteáin ó óstach LAN a cheadaigh sé, tagann an freagra anois ó threo eile, agus ní thagann an iontráil rianaithe naisc le chéile a thuilleadh, mar sin caitear an paicéad mar rud neamhbhailí seachas é a dhiúltú. Sin é an fáth a bhféachann an loga polasaí folamh agus an trácht ag imeacht.
Tá a dhara scagaire féin ag an ngeata. Caitheann scagadh cúrsa droim ar ais Linux paicéid nach féidir a bhfoinse a bhaint amach tríd an gcomhéadan ar tháinig siad isteach air, agus sin go díreach cruth cúrsa fillte neamhshiméadrach dlisteanach. treoir seolta strongSwan iarrann net.ipv4.ip_forward agus net.ipv4.conf.all.rp_filter scaoilte ar an gcúis sin. Briseann luach dian 1 ar cheachtar geata ród cheart go ciúin, agus taispeánann nstat -az na titimí má tá a fhios agat cá bhféachfaidh tú.
| Symptom | Where the reply is most likely lost |
|---|---|
| Gateway ping works, LAN host silent | Source address the far host cannot place in its table |
| SYN arrives, no SYN-ACK, tunnel counters flat | No route to the client prefix on the far host or its gateway |
| Reply counted on the internet-facing interface | Default route or policy rule on the far host |
| Firewall reports invalid state | Asymmetric path through a stateful device |
| Worked until a link failed over | New path is asymmetric, or rp_filter now rejects it |
Ródaigh nó aistrigh, agus ansin fíoraigh sa dá threo
Níl an dá dheisiú coibhéiseach. Coimeádann ród a chur leis an seoladh cliaint slán, mar sin leanann rialacha atá bunaithe ar fhoinse, logaí iniúchta agus feidhmchláir a thaifeadann an té a ghlaonn ag obair; is é an praghas ná go dteastaíonn an ród ó gach céim a dhéanann an cinneadh, is é sin níos mó áiteanna le bheith mícheart. Mascáil ar an ngeata thall crapann an cúrsa fillte go céim amháin, mar tá an freagra dírithe anois ar an ngeata féin, agus ceileann sé cén cliant a rinne cad.
iptables -t nat -A POSTROUTING -o eth1 -s 10.20.30.0/24 -j MASQUERADERoghnaigh go deonach é: chomh luath agus a bhíonn cliaint le feiceáil mar sheoladh an gheata, stopann ACLanna atá bunaithe ar fhoinse ag idirdhealú eatarthu, agus caithfidh conntrack an mhapáil a choimeád ionas go scríobhtar an freagra ar ais isteach sa tollán. Má fhágann na roghnóirí réimír an chliaint as an áireamh fós, ní athraíonn NAT aon rud, mar níor tháinig an t-iarratas isteach sa tollán riamh.
Sula nglaonn tú deisithe air, deimhnigh ceithre rud in ord: an ród ar an óstach a sheolann an freagra, an ród ar gach céim a sheolann ar aghaidh é, na roghnóirí a chlúdaíonn an dá réimír, agus gabháil a thaispeánann an freagra ag dul isteach sa tollán leis an bhfoinse a mbíonn tú ag súil leis. Ansin déan an tástáil arís ón suíomh eile. Is dearadh leathoscailte é treo amháin a rith, agus teipeann an dara treo de ghnáth ar chúis atá difriúil ón gceann a dheisigh tú díreach.