Az alagút áll, az internet nincs: hol áll meg a továbbítás

A kliens csatlakozik, az alagút pingeket visz az átjáróhoz, és azon túl semmi sem válaszol. Ez az állapot normális egy olyan átjárónál, amelyet mindig is csak védett hálózatok elérésére szántak, és hiba egy teljes alagút kijárataként hirdetett átjárónál. A szabályok módosítása előtt erősítse meg, milyen szolgáltatást ígértek. Ezután kövessen végig egyetlen nyilvános kérést a négy helyen, ahol megállhat. Egy kérés és egy csomagrögzítés többet dönt el, mint egy oldal találgatás.

Erősítse meg, hogy az internetes kijárat egyáltalán a terv része volt-e

Az osztott alagút profil csak a védett alhálózatokat irányítja a VPN-be, így a nyilvános böngészés a helyi kapcsolaton marad, és soha nem érinti az átjárót. A teljes alagút profil alapértelmezett útvonalat telepít az alagútba, ami az átjárót teszi felelőssé a teljes útvonalért. Mindkettő jogos kialakítás, és összekeverésük hibajelentést szül ott, ahol nincs hiba. Olvassa el a kliens által hirdetett útvonalakat, mielőtt bármi mást tesztel, mert az útvonaltábla megválaszolja a kérdést, amelyet a jegy általában rosszul tesz fel.

Amit a kliens telepít, nem mindig az, amit a profil szándékol. Egy betolt útvonalat felülírhat egy alacsonyabb metrikájú helyi útvonal, és az a kliens, amely megtartja a LAN-útvonalát, miközben alapértelmezett útvonalat ad hozzá, osztott alagútként viselkedik azon az alhálózaton.

Kövessen végig egyetlen nyilvános kérést

Válasszon egyetlen célállomást, és kövesse a klienstől kifelé. A klienesen ellenőrizze, hogy a csomag valóban az alagutat választja-e, és melyik helyi címet használja forrásként. Ezután ellenőrizze az átjárót: megérkezik-e a csomag, és elhagyja-e a nyilvános interfészt. E válaszok mindegyike egy egész okkategóriát távolít el.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Ha az átjáró soha nem látja a csomagot, a kliens útvonala vagy az alagút választása hibás. Ha megérkezik és nem megy ki, a probléma az átjárón van, és a fennmaradó három ellenőrzés érvényes.

Ellenőrizze a továbbítást, az útvonalat és a fordítást

A strongSwanhoz mellékelt továbbítási útmutató bármely alagúttípus átjárójára érvényes: a kernelnek engedélyezni kell a csomagok mozgatását az interfészek között, és egy használható útvonalnak az internet felé kell mutatnia. A tűzfalszabálynak ezután engedélyeznie kell a forgalmat, és a forrás-címnek olyannak kell lennie, amelyre a nyilvános oldal válaszolni tud. Az internetre változatlanul továbbított privát klienscím soha nem kap választ.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

A forrásfordítás a szokásos hiányzó elem. Vele az átjáró átírja a kliens forrását a saját nyilvános címére, és követi a folyamot; nélküle a válasznak nincs hová mennie. A felhőplatformok második határt adnak, ahol az instance útvonaltáblája vagy biztonsági csoportja eldobhatja a vendég tűzfal által engedett forgalmat. Ezt a határt könnyű kihagyni, mert a vendégrendszer belülről helyesen beállítottnak látszik.

A fordított útvonal szűrése aszimmetrikus beállításban szintén eldobhat érvényes csomagokat. Olvassa le a szabály számlálóját ahelyett, hogy feltételezné, rendben van, mert a nyilvános interfész szigorú beállítása elutasítja a forgalmat, amely más útvonalon érkezik, mint amit az útvonaltábla jelez.

A válaszút és a feloldó két különböző válasz

Figyelje a választ is, ne csak a kérést. Ha a kérés fordítva megy ki, és a válasz a fordított folyamba tér vissza, a továbbítás működik akkor is, ha az alkalmazás még mindig hibázik, és a következő vizsgálat az alkalmazáshoz vagy a DNS-hez tartozik.

Az a webhely, amely HTTP-hibát ad vissza, bizonyítja, hogy az internetes továbbítás működik. Az a név, amely nem oldódik fel, miközben a cím szerinti hozzáférés működik, feloldóprobléma, nem NAT-probléma.

Szándékosan szűk javítás után tesztelje újra a klienst és minden szándékosan korlátozott privát erőforrást. Az internet-hozzáférés megadása nem bővítheti csendben a hozzáférést az átjáróhoz csatlakozó minden hálózatra.