VPN-leið eða eldveggjarregla: hvor er að sleppa pakkanum?

Tvær óháðar ákvarðanir eiga sér stað um sama pakkann, og hvor sem er getur endað beiðnina í kyrrþey. Leiðarleitnin velur tengi og næsta hopp, síðan ákveður pakkasían hvort sú samsetning sé leyfð. Tímamörk segja þér að annar tveggja hafi neitað, ekki hvor. Farðu í gegnum þrepin í réttri röð og viðgerðin hættir venjulega að vera gisk.

Tvær ákvarðanir, einn pakki, tveir eigendur

Leiðarleitnin ráðfærir sig fyrst við stefnureglur, þá við töfluna sem þær vísa á, og velur nákvæmasta forskeytið sem passar við áfangastaðinn. Skjólstæðingur sem setti upp gönguleið á þá ákvörðun, og ekkert í eldveggjarreglu getur komið í hennar stað. Þegar leitnin vísar á óvæntan stað vinnur hvert síðara þrep með rangan pakka.

Síunin er aðskilin. Á Linux-vél skipta netfilter-krókarnir umferð eftir því fyrir hvern pakkinn er: úttak fer af vélinni, inntak endar á henni, framsending fer í gegnum hana. Gátt sem tekur við VPN-skjólstæðingum og beinir þeim á LAN þarf framsendingarleiðina, og það er einmitt keðjan sem flestar sjálfgefnar stillingar láta vera tóma.

Upprunavalið tilheyrir sömu ákvörðun, og þar leynast flest ósamræmin. Kjarninn velur upprunaaðsetur af útgangstenginu nema leiðin nefni eitt, svo síuregla skrifuð fyrir LAN-undirnet passar aldrei við pakka sem fer út með gönguaðsetrinu.

Lestu hvað leitnin valdi í raun

Prentaðu ákvörðunina í stað þess að álykta hana. Skipunin hér að neðan leysir leiðina sem kjarninn myndi nota fyrir þann áfangastað, þar á meðal tengið og upprunann sem hann myndi velja:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

VPN-skjólstæðingar setja oft stefnureglur á forgang undir aðaltöflunni, svo hrein aðaltafla sannar ekkert eitt og sér. Berðu forgang reglnanna saman við töflurnar sem þær velja, og athugaðu hvort gönguleiðin lifir endurtengingu í stað þess að vera bætt við einu sinni fyrir hönd.

Stefnubundið IPsec bætir við þriðja samsvörunarþrepi sem leiðsla nær ekki yfir, eins og framsendinganótar strongSwan lýsa fyrir göngu- og flutningsuppsetningar. Öryggisstefnan velur umferð eftir forskeyti og samskiptareglu, en leiðin ákveður bara hvert óvarið pakki myndi fara. Undirnet sem er beint en hefur engan samsvarandi valara annaðhvort verður óvarið eða er hent, eftir stillingum, og hvorug niðurstaðan lítur út eins og eldveggsvandamál. Prentaðu stefnuna og berðu valarana saman við forskeytin sem þú bjóst við að göngin bæru.

Síun gildir við krók, ekki við leið

Regla sem leyfir VPN-hlustaran er regla um umferð sem er beint að gáttinni sjálfri. Hún segir ekkert um skjólstæðinga sem ná til véla bak við þá gátt, því framsend umferð fer um aðra keðju. Að lesa reglusafnið sem einn flatan lista er venjulega ástæðan fyrir því að rétt útlitandi regla virkjast aldrei.

Teljarar leysa spurninguna fljótt. Regla með núll pakkatalningu varð aldrei fyrir, sem bendir á ranga keðju, rangt tengi eða fyrri hendingu. Regla með vaxandi talningu undir hendingarstefnu er mörkin sem þú leitaðir að, og pakkanum er hent í stað þess að vera rangt beint.

Sendu prófun um þá leið sem skjólstæðingurinn notar

Prófanir sem keyrðar eru á gáttinni sjálfri fara um úttak og inntak, með eigin upprunaaðsetri gáttarinnar. Það er önnur leið en framsend beiðni skjólstæðings, svo árangursríkt staðbundið curl sannar minna en það virðist. Prófaðu frá vélinni sem mistekst, eða festu tengið og upprunann skýrt.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Upptaka á báðum endum aðgreinir þau tilvik sem eftir eru. SYN sem fer frá skjólstæðingnum og kemur aldrei merkir leiðsla, dulritun eða aðgangslisti ofar. SYN sem kemur og fær ekkert svar merkir þjónustuna eða hússíuna hennar, og göngin voru aldrei vandamálið.

Endurkoma á skilið eigið augnaráð. Ósamhverf leiðsla ásamt síun andhverfrar leiðar hendir svörum sem koma á ranga tengið, sem birtist sem einstefnu tenging í stað lokaðrar gáttar. Athugaðu sysctl-gildið áður en þú kennir eldveggnum um einkenni sem hann olli ekki.

Skrásetning virkar sem önnur skoðun, ekki fyrsta skref. Tímabundin skráningaryfirlýsing á framsendingarkeðjunni nefnir tengið og aðsetrin sem lentu á henni, og auðvelt er að fjarlægja hana síðar. Láttu hana vera varanlega og þú hefur byggt skráarmagnsvandamál í stað svars.

Settu hverja breytingu þar sem hún lifir endurtengingu

Leið sem bætt er við með ip route add lifir þar til tengið fer niður. Geymdu hana í tengingarsniðinu í staðinn: NetworkManager tekur við viðbótarleiðum á tengingunni, og netplan varðveitir þær milli ræsinga. Sama regla á við um eldveggjarundantekningu á skjólstæðingahlið, sem er horfin eftir næstu endurhleðslu.

Reglur á þjónahlið tilheyra stillingaskránni sem þjónustan hleður við ræsingu, ekki gagnvirku lotu sem endar þegar þú lokar henni. Skrifaðu regluna, hlauðu aftur og staðfestu að teljarinn hreyfðist, því endurhleðsla sem hafnaði setningafræðinni lætur gömlu reglusafnið vera á sínum stað í kyrrþey.

Endurtaktu síðan upprunalegu forritabeiðnina frá upphafi til enda og skráðu hvaða lag breyttist. Leiðarviðgerð sem þurfti líka síubreytingu mistekst samt, og auðveldara er að lesa aðra mistökin þegar þú veist að þau fyrstu eru horfin. Skráðu dagsetningu og útgáfu skjólstæðingsins við niðurstöðuna, því sjálfgefnar stillingar leiðslu og síunar hreyfast báðar milli útgáfa. Hafðu þá athugasemd á miðanum svo næsta manneskja byrji þar sem þú stoppaðir í stað þess að endurtaka tveggja þrepa ferðina.