LAN კლიენტები გვერდს უვლიან როუტერის VPN-ს, სანამ პოლიტიკური მარშრუტიზაცია ჩაირთვება

როუტერი ინტერნეტს თავისი გვირაბით აღწევს, მაშინ როცა მის უკან მდგომი ლეპტოპი კვლავ ISP-ის მისამართს აცხადებს. მიღების წესების დამატება არ ეხმარება და ეს მარცხი მეტყველია: ფილტრაცია პასუხობს, შეიძლება თუ არა პაკეტის გავლა და არა სად მიდის ის. ინტერფეისის არჩევანი უკვე გააკეთა მარშრუტიზაციის ძიებამ, რომელმაც არაფერი იცის თქვენი კლიენტების სიაზე. გაასწორეთ ძიება და Firewall აღარ იქნება ეჭვმიტანილი.

ფილტრის წესს არ შეუძლია ინტერფეისის არჩევა

Linux როუტერზე პაკეტების ნაკადი ჯერ მარშრუტიზაციის გადაწყვეტილებას ასრულებს, შემდეგ კი forward-ის კაუჭს. როცა წესი გამავალ გვირაბის მოწყობილობას ემთხვევა, ბირთვმა უკვე გადაწყვიტა, რომ გვირაბი გამოსავალია. თუ მთავარი ცხრილი კვლავ WAN-ის ნაგულისხმევ მარშრუტს ანიჭებს უპირატესობას, პაკეტი ISP-ისკენ მიემართება და თქვენ მიერ ახლახან დაწერილი მიღების წესი ვერასოდეს ხედავს მას. რიგის ეს ერთი ფაქტი ხსნის, თუ რატომ არ ცვლის არაფერს ახალი Firewall წესების ერთი გვერდი.

ქვემოთ მოცემული მაგალითი იყენებს 192.168.8.0/24 LAN-ს br-lan-ზე, გვირაბის მოწყობილობა tun0-ს და ერთ set-top box-ს 192.168.8.23-ზე, რომელმაც გვირაბი უნდა გამოიყენოს.

წესების რედაქტირებამდე წაიკითხეთ ძიება

სთხოვეთ ბირთვს, გადაწყვიტოს მარშრუტი ამ კლიენტის სახელით. პასუხი მოიცავს გამავალ მოწყობილობას და ასარჩევ წყაროს მისამართს, და ეს არის ყველაფერი, რაც დიაგნოზის დასადასტურებლად გჭირდებათ. თუ პასუხში WAN მოწყობილობაა დასახელებული, პაკეტს თქვენს წესამდე მისვლის შანსი არასოდეს ჰქონია.

ip -4 route get 198.51.100.7 from 192.168.8.23

გაიმეორეთ მოთხოვნა კლიენტისთვის, რომელიც ჩვეულებრივ გზაზე უნდა დარჩეს. როცა ორივე პასუხი ერთსა და იმავე მოწყობილობას ასახელებს, წყაროზე დაფუძნებული პოლიტიკა ჯერ არ მოქმედებს და გასწორება მარშრუტიზაციას ეკუთვნის და არა ფილტრაციას.

მიაბით ცხრილი იმ კლიენტებს, რომლებიც გსურთ დაიფაროთ

პოლიტიკური მარშრუტიზაცია წესების ძიებას მთავარ ცხრილამდე ათავსებს. შექმენით ცხრილი, რომლის ნაგულისხმევი მარშრუტი გვირაბია, შემდეგ მიაბით ეს ცხრილი სელექტორს: შემავალი ინტერფეისი, წყაროს მისამართი ან Firewall-ის ნიშანი. პრიორიტეტები განსაზღვრავს რიგს და მთავარი ცხრილი სიაში ძალიან ქვემოთ, 32766-ზეა, ამიტომ დაბალი ნომრის წესი პირველი მოწმდება. ინტერფეისის სელექტორები ფარავს ხიდის ყველა კლიენტს; მისამართის სელექტორები ფარავს ერთ მანქანას.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Firmware-ის ინტერფეისები ჩვეულებრივ აჩვენებენ იმავე ობიექტებს, რასაც პოლიტიკური მარშრუტიზაციის ან VPN პოლიტიკის გვერდი. მოწყობილობების სია იქ უფრო ადვილი მოსავლელია, ვიდრე ხელით დაწერილი წესები და ჩვეულებრივ გადაურჩება განახლებებს, რომლებიც წესების სინტაქსს ცვლიან.

აირჩიეთ სელექტორი განზრახ. ინტერფეისის წესი მოკლეა და მომავლისთვის მდგრადი, მაგრამ იჭერს თავად როუტერის მართვის ტრაფიკსაც, რომელიც ამ ხიდზე მოდის. წყაროს წესი ზუსტია და საჭიროებს რედაქტირებას ყოველ ჯერზე, როცა მოწყობილობების სია იცვლება. ჩაწერეთ არჩევანი, რადგან ის დასჭირდება შემდეგ ადამიანს, რომელიც იკითხავს, რატომ იქცევა ერთი მოწყობილობა სხვანაირად.

შეინარჩუნეთ ლოკალური დანიშნულებები გვირაბის გარეთ

ახალმა ცხრილმა იცის მხოლოდ ის მარშრუტები, რომლებსაც მასში ჩასვამთ. LAN-ის პრეფიქსი აკლია, ამიტომ პრინტერისა და NAS-ის ტრაფიკი გვირაბის ნაგულისხმევ მარშრუტს გაჰყვებოდა და გაქრებოდა. throw მარშრუტი ამთავრებს ძიებას ამ ცხრილში და გადაწყვეტილებას მთავარ ცხრილს უბრუნებს.

ip -4 route add throw 192.168.8.0/24 table 200

გამოტოვეთ ეს მარშრუტი და ლოკალური გაზიარებები გატყდება, ხოლო თავად როუტერის მართვის სესია შეიძლება გაქრეს, თუ სელექტორი განზრახულზე ფართოა. შემდეგ გადაწყვიტეთ წყაროს საკითხი: გვირაბის პაკეტებს, რომლებიც ჯერ კიდევ ატარებენ LAN-ის მისამართებს, სჭირდებათ, რომ მოპირდაპირე მხარემ იცოდეს დაბრუნების გზა, მაშინ როცა გვირაბზე masquerading ამ მოთხოვნას აშორებს და ასევე აშორებს კლიენტის იდენტურობას, რომელსაც მოპირდაპირე მხარე დაინახავდა.

გაშვების დროს დამატებული წესები და მარშრუტები ქრება გადატვირთვის ან firmware-ის განახლების შემდეგ. დაამატეთ ისინი როუტერის გაშვების მექანიზმში, ერთხელ გადატვირთეთ და კვლავ შეამოწმეთ კლიენტიდან: მისი საჯარო მისამართი, მეორე კლიენტი, რომელიც WAN-ზე უნდა დარჩეს და გვირაბის მთვლელები ახალი კავშირის დროს.