Sroicheann cliaint VPN an freastalaí ach ní an LAN: cén ceartú?

Déanann an cliant ping ar sheoladh tolláin an fhreastalaí OpenVPN agus faigheann sé freagra, ansin triaileann sé óstach i LAN an fhreastalaí agus ní fhaigheann sé dada. Cúngaíonn an deighilt sin an locht go mór: tá an tollán suas, is dócha go bhfuil an t-aistriú ag obair, agus tá an freagra ag imeacht trí dhoras nach dtéann ar ais. Tá trí cheartú ann, agus braitheann an ceann ceart ar an méid a rialaíonn tú agus ar an méid a bhfuil tú sásta é a ligean uait. Freagair na trí cheist thíos in ord agus ní cúrsa blais a bheidh sa rogha a thuilleadh.

Ar dtús, deimhnigh cén treo atá briste

Sroicheann an t-iarratas an comhéadan tolláin le seoladh foinse ón linn VPN. Seolann an freastalaí ar aghaidh chuig óstach sa LAN é, agus freagraíonn an t-óstach sin don gheata a ainmníonn a thábla féin, de ghnáth ródaire an LAN. Mura bhfuil bealach ag an ródaire chuig an linn, faigheann an freagra bás ansin nó téann sé ar strae i dtreo an idirlín.

Déan tástáil ar an dá mheaisín sula n-athraíonn tú ceachtar acu. Fiafraigh de thábla ródaithe an fhreastalaí conas a shroichfeadh sé cliant; fiafraigh den óstach sa LAN conas a shroichfeadh sé an seoladh céanna. De ghnáth díríonn an chéad chuardach ar an tollán agus an dara ceann ar ródaire an LAN, agus is é an difríocht sin an locht in aon líne amháin. Tá dhá chuardach níos saoire ná iniúchadh balla dóiteáin agus socraíonn siad treo na faidhbe.

ip route get 10.8.0.37
sysctl -n net.ipv4.ip_forward

Má tá an t-óstach sa LAN ag díriú ar fhreastalaí VPN cheana féin, is riail balla dóiteáin nó teorainn MTU an fhadhb atá agat, ní bealach fillte atá ar iarraidh. Ná cuir bealach leis chun scagaire a dheisiú.

Céad cheist: an féidir leat ródaire an LAN i bhfad i gcéin a chur in eagar?

Nuair is leatsa ródaire an LAN, is é an freagra glan bealach statach chuig an linn VPN le seoladh LAN an fhreastalaí VPN mar an chéad léim eile. Coinníonn sé seoltaí foinse na gcliant slán, rud a bhfuil tábhacht leis nuair a dhéanann óstaigh an LAN logáil, scagadh nó teorannú luais de réir seoladh. Ní gá aistriú ar an bhfreastalaí ach an oiread, mar sin fanann an tollán ina bhealach ródaithe íon. Is é an oibleagáid a chruthaíonn sé ná doiciméadú, mar caithfidh an linn, an bealach agus cumraíocht an fhreastalaí teacht le chéile.

Teipeann sé go ciúin ar an lá a n-athraíonn duine éigin an linn. Scríobh an luach síos uair amháin agus caith le hathrú in aon cheann de na trí áit mar athrú ar an trí cinn.

Teastaíonn an bealach céanna ó NAS nó ó lasc layer 3 a óstálann an tseirbhís, mura seolann sé gach rud trí ródaire a bhfuil sé aige. Seiceáil an gléas a chuireann deireadh leis an bhfoshruth, ní hamháin an ceann atá i dtreo an idirlín. Is minic a bhíonn trí ghléas ag líonraí beaga a bhfuil tuairim acu faoi ródú.

Dara ceist: an féidir leis an LAN stopadh de bheith ag feiceáil sheoltaí na gcliant?

Nuair is le duine éigin eile an ródaire, ní theastaíonn comhoibriú ó aistriú ar an bhfreastalaí VPN. Feiceann an t-óstach sa LAN seoladh LAN an fhreastalaí, freagraíonn sé dó, agus aistríonn an freastalaí ar ais. Is é sin an fáth a n-iompraíonn fearais agus róil rochtana cianda atá bunaithe ar NAT iad féin mar sin.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Is é an costas ná sannadh: imíonn seoltaí in aghaidh an chliaint as logaí an LAN. Ansin caithfidh aon liosta ceaduithe ar óstach an LAN an freastalaí a ainmniú in ionad na linne.

Roghnaigh aistriú nuair nach bhfuil comhoibriú ar fáil, ní nuair nach bhfuil ann ach míchaoithiúil. Folaíonn sé an cliant ó gach imscrúdú sa todhchaí, lena n-áirítear iad siúd ina gcaithfidh tú a fháil amach cén ríomhaire glúine a d'oscail nasc. Féadfaidh sé prótacail a bhriseadh freisin a chuireann seoltaí isteach sa phálasta, mar maireann an t-aistriú sa cheanntásc. Níl ceachtar rogha níos airde; freagraíonn siad ceisteanna éagsúla faoi úinéireacht.

Tríú ceist: an cliant é an freastalaí féin do thollán eile?

Samhlaigh an topology eile: déanann an freastalaí VPN dhiailiú ar sholáthróir tráchtála freisin, mar sin tá dhá thollán agus dhá shraith seoladh aige. Imíonn an trácht a sheolann sé ar aghaidh dá chliaint féin amach tríd an soláthróir, agus ní ródóidh sé sin freagraí ar ais chuig seoltaí na linne. Is é sin an fáth a n-imíonn freagraí cé go bhfuil an dá thollán sláintiúil.

Is é an ceartú ná an tollán amach a mhaisciú freisin, ionas nach bhfeiceann an soláthróir ach seoladh tolláin an fhreastalaí. Teastaíonn a riail féin ón treo eile, mar is sruth difriúil é an freastalaí a thosaíonn nasc chuig duine dá chliaint féin. Gan an riail sin freagraíonn an cliant seoladh nach féidir leis a ródú. Cuir an riail chúng roimh aon mhaisciú leathan ionas go mbeidh an bua ag an aistriú sonrach.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun1 -j MASQUERADE
iptables -t nat -A POSTROUTING -d 10.8.0.0/24 -o tun0 -j SNAT --to-source 10.8.0.1

Cuireann óstaigh le comhéadain iolracha locht gaolmhar leis a bhféachann go díreach mar an gcéanna ón gcliant. Imíonn an freagra amach tríd an gcomhéadan a bhfuil an mheántracht is ísle aige mar roghnaíodh an seoladh foinse ó thábla eile. Seiceáil an bealach ar ais le cuardach in ionad glacadh leis go gcuimsíonn an bealach amach é.

Ansin fíoraigh an dá threo agus an dá mhéid

Tar éis an athraithe, déan ping ón gcliant chuig óstach sa LAN agus ansin ón óstach sa LAN chuig an gcliant. Is é an dara treo an ceann a scipeann daoine, agus is é a nochtann riail aistrithe neamhiomlán. Taifead an dá thoradh le stampa ama ionas go mbeifear in ann aischéimniú níos déanaí a chur i gcomparáid.

Ansin bog fíordhata, mar is siomptóm MTU é ping beag a n-éiríonn leis agus aistriú mór ina stad. Tagann an locht sin chun solais díreach tar éis duit comhghairdeas a dhéanamh leat féin as an mbealach a dheisiú.

Ar deireadh, tástáil arís tar éis atosú. Ní mhaireann orduithe bealaigh agus balla dóiteáin ag am rite tríd sin, agus déanfaidh duine éigin le níos lú comhthéacs an ceartú a chailleann ag an gcéad atosú eile a dhiagnóisiú arís. Déan an t-athrú buan ar an mbealach a dhéanann do chóras cheana féin, ansin atosaigh uair amháin d'aon ghnó.