Níl app taobh istigh d'ainmspás VPN inrochtana ón LAN

Tá do sheirbhís ag obair ar an meaisín, tá an tollán suas, agus fós tá an brabhsálaí ar do dheasc ag fanacht le freagra. Níl aon rud briste sa ghnáthchiall: tá an feidhmchlár ag éisteacht taobh istigh d'ainmspás líonra, agus tá an chruach sin dofheicthe don LAN. Baineann a lúb siar leis an ainmspás, mar sin níl seoladh ar bith ag cliant ar mheaisín eile a shroicheann an port. Socraíonn léim amháin d'aon ghnó, nó péire veth amháin, é sin gan an chuid eile den óstach a bhogadh.

Cén fáth nach bhfreagraíonn aon rud ar sheoladh an LAN

Is cruach líonra iomlán é ainmspás: comhéadain, bealaí, rialacha balla dóiteáin agus lúb siar phríobháideach. Ní fheiceann próiseas a sheoltar trí ip netns exec ach an chruach sin agus faic eile, mar sin ní réitítear an seoladh a cheanglaíonn sé ach amháin laistigh den ainmspás. Is lúb siar iomlán difriúil é 127.0.0.1 an óstaigh féin.

Sin é an fáth a dteipeann ar curl ar an óstach agus a n-éiríonn leis an ordú céanna laistigh den ainmspás. Tá an feidhmchlár sláintiúil; níl an seoladh ann i gcruach an óstaigh, sin uile.

Foilsigh port amháin le léim socat

Déanann socat droichead idir an dá chruach i spás an úsáideora, rud atá leor nuair nach gá ach port TCP amháin a thrasnú. Éisteann taobh an óstaigh ar an LAN agus, do gach nasc a nglactar leis, seolann sé dara socat laistigh den ainmspás a nascann le lúb siar an fheidhmchláir. Sroicheann an próiseas istigh an feidhmchlár go díreach mar a dhéanfadh cliant áitiúil. Ní athraíonn aon rud i ródú an ainmspáis, mar sin leanann an feidhmchlár ag úsáid an tolláin mar a aon slí amach.

socat TCP-LISTEN:9100,reuseaddr,fork EXEC:'ip netns exec vpn socat STDIO tcp-connect:127.0.0.1:9100',nofork

Teastaíonn root nó an cumas chun dul isteach san ainmspás ón bpróiseas seachtrach. Má thiteann an VPN, cailleann an feidhmchlár a chonair agus teipeann ar an bport foilsithe go dúnta, agus sin an t-iompar a theastaíonn uait ó phríosún.

Úsáid péire veth nuair a thrasnaíonn níos mó ná port amháin

Is é péire veth an freagra ceart nuair nach mór roinnt portanna nó prótacal a thrasnú, nó nuair is gá d'óstach eile naisc a thosú. Fanann ceann amháin san óstach, bogann an ceann eile isteach san ainmspás, agus tugann /30 beag seoladh cobhsaí don dá thaobh. Ansin seolann bealach óstaigh seoladh an ainmspáis thar an bpéire.

ip link add veth0 type veth peer name veth1
ip link set veth1 netns vpn
ip addr add 10.77.0.1/30 dev veth0
ip link set veth0 up
ip netns exec vpn ip addr add 10.77.0.2/30 dev veth1
ip netns exec vpn ip link set veth1 up

Ná cuir bealach réamhshocraithe tríd an óstach mura bhfuil rún agat an príosún a bhriseadh. Ba chóir don tollán fanacht mar an slí amach, mar sin ní féidir ach seoladh an tseirbhís fhoilsithe a rochtain thar an bpéire. Tabhair a chomhad réitithe féin don ainmspás freisin, mar léann ip netns exec /etc/netns/vpn/resolv.conf agus gan é bíonn réiteach ainmneacha laistigh den phríosún folamh.

Tástáil ó mheaisín eile, ní ón óstach

Rith an tástáil ó dhara meaisín, mar is féidir leis an óstach rochtain a fháil ar éisteoir áitiúil trí chonairí nach ndeir aon rud faoin LAN. Seiceáil ar dtús cad chuige a bhfuil an feidhmchlár ceangailte go hiarbhír laistigh den ainmspás, ansin ceangail leis an seoladh foilsithe ón taobh amuigh. Ní leathnaíonn ceangal le gach seoladh ansin an príosún, mar baineann an t-ionadaí fós leis an ainmspás agus ní féidir leis an LAN é a fheiceáil.

ip netns exec vpn ss -lntp

Má oibríonn nasc an óstaigh agus mura n-oibríonn nasc an LAN, is é an léim nó an bealach an píosa atá in easnamh, ní an seoladh ceangail. Cuir tús le OpenVPN laistigh den ainmspás in ionad feiste tun bheo a bhogadh isteach ann, ós rud é go gcuireann bogadh an chomhéadain as é agus go bhféadfadh sé bealaí a ghlanadh nach féidir leat a dheisiú ón taobh amuigh ina dhiaidh sin. Coinnigh na horduithe téarnaimh ar an consól, ní laistigh den phríosún.