Göngin uppi, ekkert internet: hvar áframsendingin stöðvast

Biðlarinn tengist, göngin bera ping til gáttarinnar og ekkert handan hennar svarar. Þetta ástand er eðlilegt fyrir gátt sem var ætíð aðeins til að veita aðgang að vernduðum netum, og það er bilun fyrir gátt sem er auglýst sem útgangur fullra ganga. Áður en þú breytir reglum, staðfestu hvaða þjónusta var lofað. Fylgdu síðan einni opinberri beiðni í gegnum fjóra staði þar sem hún getur stöðvast. Ein beiðni og ein pappírsskráning pakka leysa meira en síða af getgátum.

Staðfestu hvort útgangur á internetið var einhvern tíma hönnunin

Skiptingagöng snið beinir aðeins vernduðum undirnetum í VPN-ið, þannig að opinbert vafur heldur áfram um staðbundna tengingu og snertir aldrei gáttina. Fullra ganga snið setur sjálfgefna leið í göngin, sem gerir gáttina ábyrga fyrir allri leiðinni. Bæði eru lögmætar hannanir, og að rugla þeim saman framleiðir bilunarskýrslu þar sem engin er. Lestu tilkynntar leiðir biðlarans áður en þú prófar eitthvað annað, því leiðatöflan svarar spurningunni sem miðinn setur venjulega rangt.

Það sem biðlarinn setur upp er ekki alltaf það sem sniðið ætlar. Ýtt leið getur verið yfirskrifuð af staðbundinni leið með lægri mælingu, og biðlari sem heldur LAN-leið sinni á meðan hann bætir við sjálfgefinni leið hagar sér eins og skiptingagöng fyrir það undirnet.

Fylgdu einni opinberri beiðni

Veldu einn áfangastað og fylgdu honum frá biðlaranum út. Á biðlaranum skaltu athuga hvort pakkinn velur í raun göngin og hvaða staðbundna vistfang hann notar sem uppruna. Athugaðu síðan gáttina: kemur pakkinn og fer hann út um opinbera viðmótið. Sérhvert þessara svara fjarlægir heilan flokk orsaka.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Ef gáttin sér pakkann aldrei er leið biðlarans eða val gönganna rangt. Ef hann kemur og fer ekki er vandamálið á gáttinni, og gilda þrjár eftirliggjandi athuganir.

Athugaðu áframsendingu, leið og þýðingu

Áframsendingarleiðbeiningin sem fylgir strongSwan gildir fyrir gátt af hvaða göngutegund sem er: kjarnanum verður að vera heimilt að flytja pakka milli viðmóta, og nothæf leið verður að vísa til internetsins. Eldveggsstefnan verður síðan að leyfa umferðina, og upprunavistfangið verður að vera eitt sem opinbera hliðin getur svarað. Einkavistfang biðlara sem er áfram sent óbreytt á internetið fær aldrei svar.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Uppruni þýddur er venjulega vantaði hlutinn. Með honum endurskrifar gáttin uppruna biðlarans í opinbert vistfang sitt og fylgir flæðinu; án hans hefur svarið hvergi að fara. Skýjaplatfyrirtæki bæta við annarri mörk, þar sem leiðatafla eða öryggishópur tilviksins getur sleppt umferð sem eldveggur gestsins leyfir. Þessi mörk eru auðveld að missa af því gestkerfið lítur rétt uppsett út að innan.

Sía andhverfu leiðarinnar í ósamhverfri uppsetningu getur líka hent giltum pökkum. Lestu teljarann á þeirri reglu í stað þess að gera ráð fyrir að allt sé í lagi, því strangt stilling á opinbera viðmótinu hafnar umferð sem kemur annarri leið en leiðataflan spáir.

Svarleið og leysir eru tvö mismunandi svör

Fylgstu líka með svarinu, ekki bara beiðninni. Ef beiðnin fer út þýdd og svarið snýr aftur í þýdda flæðið virkar áframsendingin jafnvel þegar forritið mistekst enn, og næsta rannsókn tilheyrir forritinu eða DNS.

Vefsvæði sem skilar HTTP-villu er sönnun fyrir því að áframsending á internetið virki. Nafn sem leysist ekki á meðan aðgangur eftir vistfangi virkar er leysivandamál, ekki NAT-vandamál.

Eftir nákvæma leiðréttingu prófaðu biðlarann aftur og hvers kyns viljandi takmarkaða einkaaðlind. Að veita internet-aðgang má ekki hljóðlaust víkka aðgang að hverju neti sem er tengt gáttinni.