VPN-biðlar tengjast en hafa ekki internet: þrír hlutar sem vantar

Göng sem svara ping þurfa samt áfram miðlun, þýðingu og miðlunarreglu að halda. Finndu hver hinna þriggja vantar áður en þú breytir biðlinum aftur.

Biðillinn fær tölu, þjónninn svarar ping, og samt rennur hver síða út á tíma. Flestir byrja að breyta biðlaprófílnum á þessum punkti, sem er yfirleitt til einskis: þegar göngin standa verður þjónninn að haga sér eins og beinir. Þrjú skilyrði verða að gilda samtímis áður en pakki fer út og svar kemur til baka, og einkennið er það sama hverju sem vantar.

Hvers vegna virk göng hafa samt enga útleið

Kjarninn verður að miðla pökkum milli tengja, sem er sjálfgefið slökkt á flestum Linux-dreifingum. Gera verður þýðingu á umferðinni yfir á tölu sem umheimurinn getur svarað, nema sérhver beinir ofar í keðjunni þekki þegar heimleiðina að undirneti ganganna. Miðlunarleið eldveggsins verður að leyfa umferð í báðar áttir, þar með talin svörin.

Hvert þessara er hægt að laga sérstaklega, og það er gildran. Að kveikja á miðlun án þýðingarreglu lætur pakkana fara út með einkaaðsetri og án heimleiðar. Að bæta þýðingu við án miðlunarreglu lætur kjarnann sleppa pakkanum einu skrefi síðar.

Prófaðu því þrjú lögin í stað biðilsins, og breyttu einu í einu svo niðurstaðan þýði eitthvað.

Miðlun er kjarnarof sem þú verður að gera varanlegan

Athugaðu núgildið áður en þú breytir því, stilltu það svo og staðfestu að breytingin hafi tekið gildi.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
sysctl net.ipv4.ip_forward

Fyrsta skipunin greinir frá núgildinu, önnur stillir það á keyrslutíma og þriðja sannar að skrifin virkuðu. Keyrslugildið hverfur við næstu endurræsingu, og þess vegna getur vinnandi seta brotnað eftir viðhald án nokkurrar stillingabreytingar.

Gerðu það varanlegt í skrá undir /etc/sysctl.d/, og notaðu svo þá skrá í stað þess að endurræsa til að komast að því. Á FreeBSD er samsvarandi net.inet.ip.forwarding, með gateway_enable=YES í rc.conf fyrir varanleika. Tæki sem tilkynnir miðlun óvirka útskýrir heilan flokk skýrslna „pakkarnir koma og ekkert kemur til baka”. Athugaðu stillinguna líka eftir hverja uppfærslu, því endurbyggður kjarni eða skipt tækjamynd geta endurstillt hana án þess að segja neinum frá.

Veldu masquerade eða eitt fast þýðingaraðsetur

Með kviku ytri tölu er masquerading einfaldasta rétta myndin. Nefndu undirnet ganganna sem uppruna og ytri tengið sem útleið.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE

Með stöðugri opinberri tölu er þýðing upprunans yfir á nákvæmlega þá tölu fyrirsjáanlegri og auðveldari í úttekt.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -j SNAT --to-source 198.51.100.10

Önnur myndin ber viðhaldsgildru: harðkóðuð tala sem breytist síðar heldur göngunum gangandi á meðan internetið stöðvast hljóðlaust. Notaðu annaðhvort masquerade eða uppfærðu regluna hvenær sem þjónustuaðilinn færir þig. Tengið skiptir líka máli, því beinir sem deilir sínum eigin göngum ofar verður að þýða út um þau göng en ekki um líkamlega WAN-ið.

Síutóflan er þriðja hliðið

Miðlun og þýðing geta bæði verið rétt á meðan pakkinn deyr samt í síutóflunni. ufw er tíður sökudólgur: miðlunarstefna þess kemur sem DROP, og afgangur uppsetningarinnar getur litið fullkomlega rétt út á meðan þessi eina stilling drepur umferðina. Að hækka hana er viljandi öryggisákvörðun en ekki gátkassi.

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Fyrsta reglan leyfir nýja umferð frá göngunum út, og önnur leyfir aðeins svör til baka. Þrengdu báðar að undirneti ganganna og fyrirhuguðum áfangastað, því almenn leyfi á tengi ganganna gera VPN-ið að opinni útleið fyrir hvern þann sem getur auðkennt sig.

Brúað göng þurfa aðra svörun. Töluin tilheyrir brúnni, ekki líkamlega portinu, svo að þrælbinda tengið fjarlægir töluna sem það hafði áður og hýsillinn virðist óaðgengilegur þar til brúin sjálf fær eina, sem dhclient br0 getur veitt. Sú bilun lítur út eins og VPN-vandamál og er vandamál á öðru lagi. Athugaðu eigið aðsetur brúarinnar áður en þú snertir eldvegginn, því síubreyting getur ekki lagað hýsil sem hefur ekki lengur aðsetur til að senda frá.

Hvar á að leita þegar síða hleðst aldrei

Pingaðu gangaaðsetur þjónsins til að sanna að göngin séu til. Keyrðu svo traceroute frá biðlinum að opinberu aðsetri og lestu hvar það stoppar: hjá þjóninum kemur pakkinn en er hvorki miðlaður né þýddur; handan þjónsins er vandamálið ofar og utan þín.

ping -c 3 10.9.0.1
traceroute -n 198.51.100.10

Fyrsta skipunin sannar að göngin bera umferð til þjónsins sjálfs, og önnur sýnir hversu langt pakki kemst út. Slóð sem endar á gangaaðsetrinu bendir á miðlun eða þýðingu á þjóninum, en slóð sem stoppar einu hoppi síðar bendir á þjónustuaðilann eða heimleið beinisins ofar.

Á þjóninum skaltu fylgjast með ytri tenginu á meðan biðill hleður síðu. Umferð sem fer út með einkaupprunaaðsetri þýðir að þýðing vantar, og ekkert svar þýðir að miðlunarleiðin eða heimleiðin ofar sleppir henni.

Ef fjartengdir biðlar þurfa líka að ná hýslum á LAN-þjónsins, mundu að LAN-ið þarf heimleið að undirneti ganganna. Það er beining en ekki þýðing, og það er skrefið sem oftast gleymist þegar internetleiðin virkar loks.

Tengdir greinar