Gateway VPN perlu penerusan IP: apa yang harus diperiksa

Klien Anda dapat melakukan ping ke alamat gateway sementara setiap sumber daya di belakangnya tetap tidak terjangkau. Sepasang pengamatan itu menggambarkan host yang berbicara kepada Anda dan router yang tidak merutekan, yang merupakan peran berbeda pada mesin yang sama. Penerusan adalah sakelar di antara keduanya.

Kedua peran itu independen, begitu juga kedua keluarga alamat.

Menjawab alamatnya sendiri tidak membuktikan apa pun

Ketika sebuah paket dialamatkan ke gateway itu sendiri, tumpukan lokal mengonsumsinya dan tidak ada keputusan penerusan yang terjadi. Itulah sebabnya ping yang berhasil ke alamat terowongan atau antarmuka manajemen memberi tahu Anda bahwa daemon hidup dan terowongan menyala, tetapi tidak mengatakan apa pun tentang lalu lintas yang ditujukan ke jaringan di belakang kotak. Kernel hanya meninjau jalur penerusannya untuk paket yang tidak dialamatkan kepadanya.

Bacalah persyaratan itu sebagai peran, bukan pengaturan: host ini harus memindahkan paket di antara dua antarmuka. Laptop yang hanya perlu menjangkau jaringan jarak jauh tidak pernah mengambil peran itu, dan titik akhir situs-ke-situs selalu mengambilnya. Membaca persyaratan seperti itu menjelaskan mengapa konfigurasi klien yang berfungsi gagal ketika dipindahkan ke gateway.

Kalimat yang sama berlaku untuk firewall di depan keputusan penerusan, yang memiliki kebijakannya sendiri tentang apa yang boleh diteruskan.

Periksa setiap keluarga alamat secara terpisah

Penerusan IPv4 adalah satu sakelar, dan penerusan IPv6 adalah sakelar lain dengan perilakunya sendiri per antarmuka. Mengaktifkan yang pertama tidak mengatakan apa pun tentang yang kedua, dan klien dua tumpukan dapat menjangkau separuh jaringan sementara sisanya tetap gelap. Dua klien dari keluarga berbeda karena itu dapat berbeda pendapat tentang gateway yang sama. Tanyakan keluarga mana yang dipakai klien yang gagal sebelum mengubah salah satu pengaturan. Konfirmasi keduanya sebelum menyimpulkan bahwa desain perutean salah.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Pada banyak distribusi, nilai yang Anda baca saat runtime diletakkan di sana oleh layanan atau berkas konfigurasi, sehingga perubahan yang dilakukan dengan perintah sekali pakai dapat hilang saat reboot. Temukan berkas yang memiliki pengaturan itu sebelum mengubah nilai runtime.

Penerusan adalah salah satu dari empat persyaratan

Aliran diteruskan yang berfungsi membutuhkan empat hal sekaligus: klien harus tahu bahwa tujuan berada di balik terowongan, gateway harus memiliki rute ke depan, balasan harus memiliki jalur kembali, dan firewall harus mengizinkan lalu lintas. Terjemahan sumber termasuk dalam desain itu sebagai opsi, bukan aturan, karena jaringan terutekan privat dengan jalur simetris tidak membutuhkannya dan yang asimetris biasanya membutuhkannya. Masing-masing dari keempatnya gagal secara independen, itulah sebabnya memperbaiki satu jarang menggeser gejalanya. Tuliskan keempatnya sebelum Anda mengubah salah satunya.

Platform cloud menambahkan pertimbangan kelima. Beberapa menegakkan pemeriksaan sumber dan tujuan pada instans, yang menjatuhkan paket diteruskan terlepas dari apa yang dikonfigurasi kernel tamu. Dokumentasi jaringan platform itu sendiri adalah otoritas di sana, bukan keluaran sysctl di dalam VM.

Uji dari klien, bukan dari gateway

Uji yang dijalankan di shell gateway itu sendiri tidak melewati bagian mana pun dari jalur penerusan yang baru saja Anda aktifkan. Hasilkan lalu lintas dari klien yang bermasalah, dan pastikan lalu lintas itu mencapai sesuatu di belakang gateway, bukan gateway itu sendiri. Itulah satu-satunya uji yang melatih peran yang Anda ubah.

Jaga aturan pendengar dan aturan penerusan tetap terpisah di kepala Anda dan di catatan perubahan. Membuka port VPN memasukkan klien ke layanan; itu tidak memberi mereka apa pun di jaringan di belakangnya, dan keduanya tampak identik dalam daftar firewall yang telah tumbuh bertahun-tahun.

Jika paket tiba dan layanan kemudian menolak pengguna, Anda sudah melewati jaringan. Lanjutkan dengan otorisasi aplikasi alih-alih memperlebar kebijakan penerusan lagi.