LAN klijenti ignoriraju VPN rutera dok se ne uključi usmjeravanje po pravilima

Ruter dolazi na internet kroz svoj tunel, dok laptop iza njega još uvijek prijavljuje adresu ISP-a. Dodavanje pravila prihvatanja ne pomaže, a taj neuspjeh je poučan: filtriranje odgovara smije li paket proći, a ne kuda ide. Izbor interfejsa već je napravilo traženje rute koje ne zna ništa o vašoj listi klijenata. Popravite traženje i firewall prestaje biti osumnjičeni.

Pravilo filtera ne može izabrati interfejs

Tok paketa na Linux ruteru prvo izvršava odluku o ruti, a zatim forward kuku. Kada pravilo pogodi izlazni tunel uređaj, kernel je već odlučio da je tunel izlaz. Ako glavna tabela još uvijek preferira zadanu rutu kroz WAN, paket je na putu ka ISP-u i pravilo prihvatanja koje ste upravo napisali ga nikada ne vidi. Ta jedna činjenica o redoslijedu objašnjava zašto stranica novih firewall pravila ne mijenja ništa.

Primjer ispod koristi LAN 192.168.8.0/24 na br-lan, tunel uređaj tun0 i jedan set-top box na 192.168.8.23 koji treba ići kroz tunel.

Pročitajte traženje prije uređivanja pravila

Zamolite kernel da razriješi rutu u ime tog klijenta. Odgovor uključuje izlazni uređaj i izvornu adresu koja bi bila izabrana, a to je sve što vam treba da potvrdite dijagnozu. Ako odgovor navodi WAN uređaj, paket nikada nije imao priliku doći do vašeg pravila.

ip -4 route get 198.51.100.7 from 192.168.8.23

Ponovite upit za klijenta koji treba ostati na uobičajenom putu. Kada oba odgovora navode isti uređaj, politika po izvoru još nije na sceni, a popravka pripada usmjeravanju, a ne filtriranju.

Pričvrstite tabelu na klijente koje želite pokriti

Usmjeravanje po pravilima ubacuje traženje pravila prije glavne tabele. Napravite tabelu čija je zadana ruta tunel, zatim povežite tu tabelu sa selektorom: ulazni interfejs, izvorna adresa ili firewall oznaka. Prioriteti određuju redoslijed, a glavna tabela stoji daleko niže na listi, na 32766, pa se pravilo s malim brojem gleda prvo. Selektori interfejsa pokrivaju svakog klijenta na mostu; selektori adrese pokrivaju jednu mašinu.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Interfejsi firmware-a obično izlažu iste objekte kao stranica usmjeravanja po pravilima ili VPN politike. Lista uređaja je tamo lakša za održavanje od ručno pisanih pravila i obično preživi nadogradnje koje mijenjaju sintaksu pravila.

Izaberite selektor namjerno. Pravilo interfejsa je kratko i budućnosti otporno, ali hvata i vlastiti upravljački saobraćaj rutera koji dolazi na taj most. Pravilo izvora je precizno i traži izmjenu kad god se lista uređaja promijeni. Zapišite izbor, jer će ga trebati sljedećoj osobi koja pita zašto se jedan uređaj ponaša drugačije.

Zadržite lokalna odredišta izvan tunela

Nova tabela zna samo rute koje u nju stavite. LAN prefiks nedostaje, pa bi saobraćaj štampača i NAS-a pratio tunelsku zadanu rutu i nestao. Throw ruta završava traženje u ovoj tabeli i vraća odluku glavnoj tabeli.

ip -4 route add throw 192.168.8.0/24 table 200

Preskočite tu rutu i lokalni dijeljeni resursi se kvare, a vlastita upravljačka sesija rutera može nestati ako je selektor širi nego što je zamišljeno. Zatim riješite pitanje izvora: tunelski paketi koji još nose LAN adrese trebaju da druga strana zna povratni put, dok maskiranje na tunelu uklanja taj zahtjev i uklanja i identitet klijenta koji bi druga strana vidjela.

Pravila i rute dodane u toku rada nestaju nakon restarta ili nadogradnje firmware-a. Dodajte ih u mehanizam za pokretanje rutera, restartujte jednom i ponovo testirajte sa klijenta: njegovu javnu adresu, drugi klijent koji treba ostati na WAN-u i brojače tunela tokom nove veze.