Brúaðir OpenVPN-biðlar án internets? Athugaðu NAT-regluna

Brúaði þjónninn er í gangi, masquerade-reglan er til staðar, og vafrinn hjá biðlinum snýst enn. Allt lítur út fyrir að eiga að virka, og þess vegna fer fyrsta klukkustundin í að athuga göngin og innskráningarupplýsingarnar. Þá lesið þið teljarann á NAT-reglunni og finnið núll sem hefur ekki hreyfst. Regla sem hefur aldrei talið neitt pakka hefur aldrei passað við neinn, og á brúuðum þjóni er ástæðan byggingarleg: umferð biðilsins fer út um sýndartap-tækið, en reglan nefnir líkamlega kortið sem þið afrituðuð úr eldri leiðbeiningu.

Teljarinn er sönnunin, ekki línan í töflunni

Reglur sem eru til og reglur sem passa eru ólíkir hlutir, og teljarinn aðgreinir þær. Listið NAT-töfluna með ítarlegum teljurum og lesið tölurnar við hverja reglu áður en þið breytið nokkru. Teljari sem stendur á núlli á meðan umferð streymir þýðir að reglan var sleppt, hversu skynsamlegar sem vistföng hennar virðast. Teljari sem hækkar á meðan tengingin mistekst enn sendir ykkur annað: framsendingu, afturleiðinni eða fjarlæga endanum.

iptables -t nat -L POSTROUTING -v -n

Lesið fyrst teljarann við viðmóts-samsvörunina. Ef upprunasviðið er rétt og útgönguhliðin röng er lagfæringin eitt orð í reglunni, ekki algjörlega ný regla.

Finnið nafnið sem kjarninn skráir í raun

Auðkennið gangnatækið með nafni áður en þið skrifið regluna, með viðmótslistanum í stað minnisins. Í brúuðu OpenVPN uppsetningu er tækið venjulega tap-viðmót sem þjónninn býr til, og nafn þess er hluti af staðbundinni stillingu ykkar, ekki algilt fasti. Staðfestið að það sé til á meðan göngin eru uppi, því tæki sem birtist aðeins eftir að biðill tengist mun láta fyrri prófun líta út eins og regluvandamál.

ip -brief link

Skrifið nafnið niður. Sérhver síðari skipun í þessari greiningu vísar í það, og innsláttarvilla hér gefur nákvæmlega sama núllteljarann og upprunalega mistökin.

Endurskrifið regluna fyrir gangnatækið

Beinið reglunni að gangnatækinu og haldið biðlasviðinu sem samsvörunarskilyrði þess, svo það þekji umferð gangnanna og leyfi eigin tengingum hýsilsins að vera í friði. Skiptið út fyrir eigið svið og tækjanafn, því bæði dæmin hér að neðan eru dæmi og ekkert þeirra flyst milli uppsetninga.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Athugið síðan hin tvö skilyrði sem sama einkennið leynir. Athugið hvort framsending sé virk, og ef ekki, virkið hana í stillingu dreifingarinnar sjálfrar í stað echo sem hverfur við endurræsingu. Lesið líka teljarana í forward-keðjunni, og ef hún hendir umferð gangnanna skuluð þið leyfa nákvæmlega það viðmót og láta stefnu keðjunnar í friði.

Að lesa forward-keðjuna með teljurum tekur eina skipun og útilokar helming þeirra möguleika sem eftir eru áður en þið snertið aðra reglu.

Hvers vegna líkamlega kortið passar aldrei

Brú er hugbúnaðarrofi sem settur er saman úr tap-tækinu og einu líkamlegu viðmóti. Rammi biðilsins fer inn í þann rofa og út í líkamlega netið sem meðlimur brúarinnar, ekki sem pakki á kortinu. Þess vegna tengir kjarninn pakkann brúnni og porti hennar, og þess vegna birtist kortið sem þið hugsuðuð um aldrei í samsvöruninni. Ekkert er bilað í líkamlega viðmótinu; það er einfaldlega ekki tækið sem kjarninn tengir þann pakka við.

Næsta vandamál sem fólk rekst á kemur úr sömu byggingu: rammasíun á brú er aðskilin aðstaða frá IP-síun. Ef krafan er takmörkun á rammastigi tilheyrir hún síun brúarinnar, ekki reglu í IP-töflu.

Sannið það frá enda til enda og gerið það svo varanlegt

Ræsið einn biðil og pingið eitthvað á LAN-þjóninum; sú leið æfir framsendingu án nokkurrar þýðingar. Biðjið svo um eitthvað opinbert svo masquerade-reglan verði að nota, og lesið teljarann enn einu sinni: hann ætti að hreyfast fyrir þessa prófun en ekki þá fyrri. Upptaka sem tekin er á gangnatækinu sýnir bæði hvar ramminn birtist og hvaða vistfang hann ber.

Síðasta skref: setjið reglurnar sem virka í stillinguna sem endurræsing les, og skráið tækjanafnið sem brú þessa hýsils notar í raun. Allt sem slegið er inn handvirkt hverfur eftir endurræsingu, og sama bilunin kemur aftur án nokkurs sem útskýrir hana.

Ef teljarinn hreyfist ekki eftir endurskrifið, berið saman upprunasviðið í reglunni við vistfangið sem biðillinn fékk í raun, því brúaður þjónn getur úthlutað vistföngum úr sviði sem þið ætluðuð ekki.