Os clientes da LAN ignoran a VPN do router ata aplicar o enrutamento por políticas

O router chega a internet polo seu túnel mentres un portátil detrás segue informando do enderezo do ISP. Engadir regras de aceptación non axuda, e ese fallo é revelador: o filtrado responde se un paquete pode pasar, non cara a onde vai. A elección de interface xa a fixo unha consulta de enrutamento que non sabe nada da túa lista de clientes. Corrixe a consulta e o cortafuegos deixa de ser o sospeitoso.

Unha regra de filtrado non pode elixir unha interface

O fluxo de paquetes nun router Linux executa primeiro a decisión de enrutamento e despois o gancho de reenvío. Cando unha regra coincide co dispositivo de túnel saínte, o núcleo xa decidiu que o túnel é a saída. Se a táboa principal segue preferindo a ruta por defecto da WAN, o paquete vai cara ao ISP e a regra de aceptación que acabas de escribir nunca o ve. Ese único feito de orde explica por que unha páxina de regras novas de cortafuegos non cambia nada.

O exemplo seguinte usa unha LAN de 192.168.8.0/24 en br-lan, un dispositivo de túnel tun0 e un decodificador en 192.168.8.23 que debería usar o túnel.

Le a consulta antes de editar regras

Pídelle ao núcleo que resolva unha ruta en nome dese cliente. A resposta inclúe o dispositivo saínte e o enderezo de orixe que se elixiría, e iso é todo o que necesitas para confirmar o diagnóstico. Se a resposta nomea o dispositivo da WAN, o paquete nunca tivo ocasión de chegar á túa regra.

ip -4 route get 198.51.100.7 from 192.168.8.23

Repite a consulta para un cliente que debería quedar no camiño normal. Cando ambas respostas nomean o mesmo dispositivo, aínda non hai ningunha política por orixe en xogo, e a corrección pertence ao enrutamento e non ao filtrado.

Asocia unha táboa aos clientes que queres cubrir

O enrutamento por políticas insire unha consulta de regras antes da táboa principal. Constrúe unha táboa cuxa ruta por defecto sexa o túnel e despois liga esa táboa a un selector: unha interface de entrada, un enderezo de orixe ou unha marca de cortafuegos. As prioridades deciden a orde, e a táboa principal está moi abaixo na lista, en 32766, así que unha regra cun número baixo consúltase primeiro. Os selectores de interface cobren todos os clientes da ponte; os selectores de enderezo cobren unha máquina.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

As interfaces do firmware adoitan expor os mesmos obxectos ca unha páxina de enrutamento por políticas ou de política de VPN. Unha lista de dispositivos alí é máis doada de manter ca as regras escritas a man e adoita sobrevivir ás actualizacións que cambian a sintaxe das regras.

Elixe o selector a propósito. Unha regra de interface é curta e duradeira, pero tamén captura o tráfico de xestión do propio router que chega a esa ponte. Unha regra de orixe é exacta e precisa unha edición sempre que cambia a lista de dispositivos. Anota a elección, porque a necesitará a próxima persoa que pregunte por que un dispositivo se comporta distinto.

Mantén os destinos locais fóra do túnel

Unha táboa nova só coñece as rutas que lle puxeches. Falta o prefixo da LAN, así que o tráfico da impresora e do NAS seguiría a ruta por defecto do túnel e desaparecería. Unha ruta throw remata a consulta nesta táboa e devolve a decisión á táboa principal.

ip -4 route add throw 192.168.8.0/24 table 200

Se salta esa ruta, os recursos compartidos locais rompen, e a sesión de xestión do propio router pode desaparecer se o selector é máis amplo do previsto. Despois resolve a cuestión da orixe: os paquetes do túnel que aínda levan enderezos da LAN necesitan que o outro lado coñeza un camiño de volta, mentres que o masquerading no túnel elimina ese requisito e tamén elimina a identidade do cliente que vería o outro lado.

As regras e rutas engadidas en tempo de execución desaparecen tras un reinicio ou unha actualización do firmware. Engádeas ao mecanismo de arranque do router, reinicia unha vez e volve probar desde o cliente: o seu enderezo público, un segundo cliente que debería quedar na WAN e os contadores do túnel durante unha conexión nova.