Az útvonalazott VPN-kliens eléri a szervert, de a LAN-gazdákat nem

Az alagút feljön, a kliens pingel a VPN-szerverre, és az egy ugrással távolabb lévő gépen lévő megosztás soha nem válaszol. Semmi a kliens konfigurációjában nem magyarázza ezt, mert a kérés valóban elhagyta a klienst és valóban megérkezett. Ami meghiúsult, az a visszaút, és a meghiúsult eszköz általában a LAN-átjáró, nem a VPN-gazda. A válaszcsomag nyomon követése az egész tünetskálát megmagyarázza.

A választ kövesse, ne a kérést

A VPN-szerver visszafejti a kliens csomagját, és továbbítja a LAN-ra úgy, hogy a kliens címe még a forrásmezőben van. A célgazda erre a címre válaszol, és most a saját útválasztási táblája dönt mindenről. Az alapértelmezett átjárója semmit nem tud az alagút készletéről, ezért a válasz az internetszolgáltató felé indul, és valahol ezen az úton eldobódik.

A kliensen a tünet csendes időtúllépés: nincs elutasítás, nincs visszaállítás, csak semmi. Egy megosztás böngészése megakad, a ping nem jelez választ, és a szervernaplók egészségesnek tűnnek, mert a szerver elvégezte a dolgát.

Tegye a visszautat oda, ahová a gazdák néznek

Minden LAN-gazda az alapértelmezett átjáróját kérdezi, ezért az átjáró az egyetlen eszköz, amelynek tudnia kell, hol található az alagút készlete. Tegyen oda statikus útvonalat, és minden gazda megörökli a helyes utat anélkül, hogy hozzányúlnának.

Ha az átjáró a saját címét DHCP-opcióként osztja ki, úgy ossza el az útvonalat is, hogy az új gépek automatikusan felvegyék. Ellenkező esetben az útvonal egy konfigurációs fájlban él, és a következő újraépítéskor eltűnik.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Miért tűnik úgy, hogy a forrás-NAT megjavítja

A klienskészlet maszkolása a VPN-szerver címe mögé úgy szünteti meg a problémát, hogy eltávolítja a kliens címét a csomagból. A válaszok ekkor visszatérnek a szerverhez, amely már tudja, hogyan érje el az alagutat, és minden működik. Az ára, hogy a belső gazdák már nem látják, ki a kliens, és minden kapcsolat úgy tűnik, mintha egyetlen gépről indulna.

Ez a csere néha helyes, például amikor egy szállító eszközének nem adható statikus útvonal. Ne tegye a szabályt a jelenlegi készletnél szélesebbre, mert a /24-re írt szabály azon a napon szűnik meg illeszkedni, amikor a készletet /16-ra számozzák át, és az első jel egy csoport új kliens, amelyek csatlakoznak és semmit nem érnek el.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

A felhőút három beállítást igényel

Egy VPC-ben ugyanaz a hiány más formában tér vissza, mert az alhálózatnak egyáltalán nincs útvonala a kliens tartományhoz. Az útválasztási táblának kell egy bejegyzés az alagút készletéhez, amely a példány hálózati interfészére mutat, és az interfészen ki kell kapcsolni a forrás- és célellenőrzést, hogy a platform elfogadja azokat a csomagokat, amelyeknek a forrása nem a saját címe. A biztonsági csoportoknak és a hálózati ACL-eknek is át kell engedniük a készletet mindkét irányban.

Minden kihagyás külön részleges hibát okoz. Hagyja ki az útválasztási tábla bejegyzését, és a privát példányok olyan alhálózatba válaszolnak, amely nem képes a választ visszavinni a készletbe. Ha az ellenőrzés még be van kapcsolva, a platform eldobja a választ, miután a példány már elküldte. A biztonsági csoport szabálya nélkül maga a kérés soha nem érkezik meg, és a kliens egy réteggel korábban látja az időtúllépést.

Futtassa az ellenőrzéseket ebben a sorrendben

Erősítse meg a továbbítást és a szűrési szabályzatot, mielőtt az útválasztást okolná, mert az a gazda, amely nem továbbít, ugyanúgy csendesen meghiúsul. Utána olvassa ki az effektív visszaút-beállítást azon az interfészen, amely az alagutat hordozza, mert egy szigorú szűrő eldobhatja a váratlan irányból érkező válaszokat.

Fejezze be egy rögzítéssel a LAN-gazdán, miközben a kliens pingeli. Az a kérés, amely megfelelő válasz nélkül érkezik, bizonyítja a visszautat, és az a kérés, amely soha nem érkezik meg, a hibát visszatolja a szerverre vagy az alagútra.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

A forrás- és célellenőrzés dokumentálva van a rugalmas hálózati interfész útmutatójában. Állítsa be azon az interfészen, amely ténylegesen az alagút forgalmát hordozza, ne egy ugyanahhoz a példányhoz csatolt, nem kapcsolódó adapteren.