Թունելը բարձրացված է, ինտերնետ չկա՝ որտեղ է կանգ առնում վերահասցեավորումը

Հաճախորդը միանում է, թունելը փինգեր է տանում դեպի դարպաս, և դրանից այն կողմ ոչինչ չի պատասխանում։ Այդ վիճակը նորմալ է դարպասի համար, որը միշտ նախատեսված է եղել միայն պաշտպանված ցանցերին հասանելիություն տալու համար, և դա խափանում է այն դարպասի համար, որը գովազդվում է որպես լրիվ թունելի ելք։ Կանոնները փոխելուց առաջ հաստատեք, թե որ ծառայությունն է խոստացվել։ Այնուհետև հետևեք մեկ հանրային հարցում չորս տեղերով, որտեղ այն կարող է կանգ առնել։ Մեկ հարցումը և մեկ փաթեթի գրանցումը ավելին են լուծում, քան մի էջ ենթադրություն։

Հաստատեք՝ արդյոք ինտերնետ ելքը սկզբից նախագծի մաս էր

Բաժանված թունելի պրոֆիլը VPN է ուղղում միայն պաշտպանված ենթացանցերը, ուստի հանրային դիտարկումը շարունակվում է տեղական կապով և երբեք չի դիպչում դարպասին։ Լրիվ թունելի պրոֆիլը թունելում տեղադրում է լռելյայն երթուղի, ինչը դարպասին պատասխանատու է դարձնում ամբողջ ուղու համար։ Երկուսն էլ օրինական նախագծեր են, և դրանց շփոթումը խափանման հաշվետվություն է ստեղծում այնտեղ, որտեղ այն չկա։ Կարդացեք հաճախորդի հայտարարած երթուղիները, նախքան որևէ այլ բան փորձարկելը, որովհետև երթուղիների աղյուսակը պատասխանում է հարցին, որը տոմսը սովորաբար սխալ է դնում։

Այն, ինչ տեղադրում է հաճախորդը, միշտ չէ, որ այն է, ինչ նախատեսում է պրոֆիլը։ Հրող երթուղին կարող է ճնշվել ավելի ցածր մետրիկայով տեղական երթուղու կողմից, և հաճախորդը, որը պահում է իր LAN երթուղին՝ ավելացնելով լռելյայն երթուղի, այդ ենթացանցի համար վարվում է որպես բաժանված թունել։

Հետևեք մեկ հանրային հարցման

Ընտրեք մեկ նպատակակետ և հետևեք դրան հաճախորդից դուրս։ Հաճախորդի վրա ստուգեք՝ արդյոք փաթեթն իսկապես ընտրում է թունելը և որ տեղական հասցեն է օգտագործում որպես աղբյուր։ Ապա ստուգեք դարպասը՝ փաթեթը գալիս է, և արդյոք այն դուրս է գալիս հանրային ինտերֆեյսից։ Այդ պատասխաններից յուրաքանչյուրը վերացնում է պատճառների մի ամբողջ կատեգորիա։

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Եթե դարպասը երբեք չի տեսնում փաթեթը, հաճախորդի երթուղին կամ թունելի ընտրությունը սխալ է։ Եթե այն գալիս է և չի հեռանում, խնդիրը դարպասի վրա է, և գործում են մնացած երեք ստուգումները։

Ստուգեք վերահասցեավորումը, երթուղին և թարգմանությունը

strongSwan-ի հետ տրվող վերահասցեավորման ուղեցույցը վերաբերում է ցանկացած տեսակի թունելի դարպասի. միջուկին պետք է թույլատրվի փաթեթներ տեղափոխել ինտերֆեյսների միջև, և օգտագործելի երթուղին պետք է ուղղվի դեպի ինտերնետ։ Ապա ֆայրվոլի քաղաքականությունը պետք է թույլատրի երթևեկությունը, և աղբյուրի հասցեն պետք է լինի այնպիսին, որին հանրային կողմը կարողանա պատասխանել։ Ինտերնետ ուղարկված առանց փոփոխության մասնավոր հաճախորդի հասցեն երբեք պատասխան չի ստանում։

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Աղբյուրի թարգմանությունը սովորական բացակայող մասն է։ Դրանով դարպասը վերագրում է հաճախորդի աղբյուրը իր հանրային հասցեով և հետևում հոսքին. առանց դրա պատասխանը գնալու տեղ չունի։ Ամպային պլատֆորմները ավելացնում են երկրորդ սահման, որտեղ ինստանսի երթուղիների աղյուսակը կամ անվտանգության խումբը կարող է գցել երթևեկությունը, որը թույլատրում է հյուրի ֆայրվոլը։ Այդ սահմանը հեշտ է բաց թողնել, որովհետև հյուրի համակարգը ներսից ճիշտ կարգավորված է երևում։

Հակառակ ուղու զտումը ասիմետրիկ կարգավորման դեպքում նույնպես կարող է վավեր փաթեթներ գցել։ Կարդացեք այդ կանոնի հաշվիչը՝ փոխարենը ենթադրելու, որ ամեն ինչ կարգին է, որովհետև հանրային ինտերֆեյսի խիստ կարգավորումը մերժում է երթևեկությունը, որը գալիս է այլ ուղով, քան կանխատեսում է երթուղիների աղյուսակը։

Պատասխանի ուղին և լուծիչը երկու տարբեր պատասխաններ են

Հետևեք նաև պատասխանին, ոչ միայն հարցմանը։ Եթե հարցումը դուրս է գալիս թարգմանված, և պատասխանը վերադառնում է թարգմանված հոսք, վերահասցեավորումը աշխատում է նույնիսկ այն դեպքում, երբ հավելվածը դեռ ձախողվում է, և հաջորդ հետաքննությունը պատկանում է հավելվածին կամ DNS-ին։

Կայքը, որը վերադարձնում է HTTP սխալ, ապացույց է, որ ինտերնետ վերահասցեավորումը աշխատում է։ Անունը, որը չի լուծվում, մինչ հասցեով հասանելիությունը աշխատում է, լուծիչի խնդիր է, ոչ թե NAT-ի։

Ճշգրիտ ուղղումից հետո կրկին ստուգեք հաճախորդը և ցանկացած դիտավորյալ սահմանափակ մասնավոր ռեսուրս։ Ինտերնետ հասանելիություն տալը չպետք է լուռ ընդլայնի հասանելիությունը դարպասին միացված յուրաքանչյուր ցանցի։