LAN-biðlar hunsa VPN beinisins þar til stefnuleiðsögn er virkjuð

Beinirinn nær internetinu gegnum göng sín, á meðan fartölva fyrir aftan tilkynnir enn IP-tölu ISP. Að bæta við samþykkisreglum hjálpar ekki, og það mistök eru lærdómsrík: síun svarar því hvort pakki megi fara í gegn, ekki hvert hann fer. Tengjavalið hefur þegar verið gert af leiðarleit sem veit ekkert um biðlalistann þinn. Lagaðu leitina og eldveggurinn er ekki lengur grunaður.

Síuregla getur ekki valið tengi

Pakkaflæði á Linux-beini keyrir leiðarákvörðunina fyrst og forward-krókinn á eftir. Þegar regla passar við útgangsgöngutækið hefur kjarninn þegar ákveðið að göngin séu útleiðin. Ef aðaltöflan kýs enn sjálfgefna WAN-leið er pakkinn á leið til ISP og samþykkisreglan sem þú skrifaðir rétt í þessu sér hann aldrei. Þessi eina staðreynd um röðina útskýrir hvers vegna síða af nýjum eldveggjareglum breytir engu.

Dæmið hér að neðan notar LAN 192.168.8.0/24 á br-lan, göngutæki tun0 og einn set-top box á 192.168.8.23 sem ætti að fara um göngin.

Lestu leitina áður en þú breytir reglum

Biddu kjarnann að leysa leið fyrir hönd þess biðlar. Svarið inniheldur útgangstækið og upprunavistfangið sem yrði valið, og það er allt sem þú þarft til að staðfesta greininguna. Ef svarið nefnir WAN-tækið hafði pakkinn aldrei möguleika á að ná reglunni þinni.

ip -4 route get 198.51.100.7 from 192.168.8.23

Endurtaktu fyrirspurnina fyrir biðil sem ætti að vera á venjulegu leiðinni. Þegar bæði svörin nefna sama tækið er engin stefna eftir uppruna enn í gangi, og viðgerðin tilheyrir leiðsögn en ekki síun.

Tengdu töflu við biðlana sem þú vilt ná yfir

Stefnumiðuð leiðsögn setur regluleit fyrir aðaltöfluna. Byggðu töflu þar sem sjálfgefin leið er göngin og tengdu hana svo við valara: inntengi, upprunavistfang eða eldveggjamerki. Forgangsröð raðar röðinni og aðaltöflan er langt neðar á listanum, á 32766, svo regla með lága tölu er skoðuð fyrst. Tengivalarar ná yfir hvern biðil á brúnni; vistfangavalara ná yfir eina vél.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Fastbúnaðarviðmót sýna venjulega sömu hlutina og síða fyrir stefnumiðaða leiðsögn eða VPN-stefnu. Tækjalisti þar er auðveldari í viðhaldi en handskrifaðar reglur og lifir venjulega af uppfærslur sem breyta setningafræði reglnanna.

Veldu valarann viljandi. Tengiregla er stutt og framtíðarheld og grípur líka eigin stjórnunarumferð beinisins sem kemur á þá brú. Upprunaregla er nákvæm og þarf breytingu í hvert sinn sem tækjalistinn breytist. Skrifaðu valið niður, því næsta manneskja sem spyr hvers vegna eitt tæki hagar sér öðruvísi þarf það.

Haltu staðbundnum áfangastöðum utan gönganna

Ný tafla þekkir aðeins þær leiðir sem þú setur í hana. LAN-forskeytið vantar, svo prentara- og NAS-umferð myndi fylgja sjálfgefinni leið gangnanna og hverfa. Throw-leið endar leitina í þessari töflu og skilar ákvörðuninni til aðaltöflunnar.

ip -4 route add throw 192.168.8.0/24 table 200

Slepptu þeirri leið og staðbundin deiling brotnar, og stjórnunarlota beinisins sjálfs getur horfið ef valarinn er breiðari en ætlað var. Leystu þá upprunaspurninguna: göngupakkar sem bera enn LAN-vistföng þurfa að hinum megin sé þekkt afturleið, á meðan masquerading á göngunum fjarlægir þá kröfu og fjarlægir líka auðkenni biðilsins sem hinn endinn myndi sjá.

Reglur og leiðir sem bætt er við á keyrslutíma hverfa eftir endurræsingu eða fastbúnaðaruppfærslu. Bættu þeim við ræsingarkerfi beinisins, endurræstu einu sinni og prófaðu aftur frá biðlinum: opinbert vistfang hans, annan biðil sem ætti að vera á WAN og teljara gangnanna við nýja tengingu.