LAN клиенттері саясаттық маршруттау қосылғанша маршрутизатор VPN-ін елемейді

Маршрутизатор интернетке өз туннелі арқылы шығады, ал оның артындағы ноутбук әлі де ISP мекенжайын хабарлайды. Қабылдау ережелерін қосу көмектеспейді және бұл сәтсіздік көп нәрсені айтады: сүзгілеу пакеттің өтуіне рұқсат бар-жоғын жауап береді, қайда баратынын емес. Интерфейс таңдауын клиенттер тізімі туралы ештеңе білмейтін маршрут іздеуі әлдеқашан жасаған. Іздеуді түзетіңіз, сонда Firewall енді күдікті болмайды.

Сүзгі ережесі интерфейсті таңдай алмайды

Linux маршрутизаторында пакет ағыны алдымен маршрут шешімін, содан кейін forward ілгегін орындайды. Ереже шығыс туннель құрылғысына сәйкес келгенде, ядро туннельдің шығу жолы екенін әлдеқашан шешкен. Егер негізгі кесте әлі де WAN әдепкі маршрутын таңдаса, пакет ISP-ге қарай барады және сіз жаңа жазған қабылдау ережесі оны ешқашан көрмейді. Осы бір реттік факт жаңа Firewall ережелерінің бір беті неге ештеңені өзгертпейтінін түсіндіреді.

Төмендегі мысал br-lan желісіндегі 192.168.8.0/24 LAN-ін, tun0 туннель құрылғысын және туннельді пайдалануы тиіс 192.168.8.23 мекенжайындағы бір set-top box-ты қолданады.

Ережелерді өңдеуден бұрын іздеуді оқыңыз

Ядродан сол клиенттің атынан маршрутты шешуін сұраңыз. Жауап шығыс құрылғыны және таңдалатын бастау мекенжайын қамтиды, ал диагнозды растау үшін осының бәрі жеткілікті. Егер жауап WAN құрылғысын атаса, пакеттің сіздің ережеңізге жету мүмкіндігі болмаған.

ip -4 route get 198.51.100.7 from 192.168.8.23

Қарапайым жолда қалуы тиіс клиент үшін сұрауды қайталаңыз. Екі жауап та бір құрылғыны атаса, бастауға қатысты саясат әлі жоқ және түзету сүзгілеуге емес, маршруттауға жатады.

Қамтуды қалайтын клиенттерге кестені байланыстырыңыз

Саясаттық маршруттау негізгі кестенің алдына ереже іздеуін қояды. Әдепкі маршруты туннель болатын кесте құрыңыз, содан кейін оны селекторға байланыстырыңыз: кіру интерфейсі, бастау мекенжайы немесе Firewall белгісі. Басымдықтар тәртіпті анықтайды және негізгі кесте тізімде 32766-да өте төмен тұр, сондықтан нөмірі кіші ереже бірінші қаралады. Интерфейс селекторлары көпірдегі әр клиентті қамтиды; мекенжай селекторлары бір машинаны қамтиды.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Firmware интерфейстері әдетте саясаттық маршруттау немесе VPN саясаты бетімен бірдей нысандарды көрсетеді. Ондағы құрылғылар тізімі қолмен жазылған ережелерге қарағанда күтімі жеңіл және ереже синтаксисін өзгертетін жаңартулардан кейін де сақталады.

Селекторды әдейі таңдаңыз. Интерфейс ережесі қысқа және болашаққа төзімді, бірақ сол көпірге келетін маршрутизатордың өз басқару трафигін де ұстайды. Бастау ережесі дәл және құрылғылар тізімі өзгерген сайын өңдеуді қажет етеді. Таңдауды жазып қойыңыз, себебі бір құрылғы неге басқаша әрекет ететінін сұрайтын келесі адамға ол керек болады.

Жергілікті межелерді туннельден тыс ұстаңыз

Жаңа кесте тек сіз салған маршруттарды біледі. LAN префиксі жоқ, сондықтан принтер мен NAS трафигі туннельдің әдепкі маршрутына еріп жоғалар еді. throw маршруты бұл кестедегі іздеуді аяқтап, шешімді негізгі кестеге қайтарады.

ip -4 route add throw 192.168.8.0/24 table 200

Осы маршрутты өткізіп жіберсеңіз, жергілікті ортақ ресурстар бұзылады, ал селектор ойлағаннан кең болса, маршрутизатордың өз басқару сессиясы да жоғалуы мүмкін. Содан кейін бастау мәселесін шешіңіз: әлі де LAN мекенжайларын алып жүрген туннель пакеттеріне қарсы жақ қайтару жолын білуі керек, ал туннельдегі masquerading бұл талапты жояды және қарсы жақ көретін клиент сәйкестігін де жояды.

Орындалу кезінде қосылған ережелер мен маршруттар қайта жүктеуден немесе firmware жаңартуынан кейін жоғалады. Оларды маршрутизатордың іске қосылу механизміне қосыңыз, бір рет қайта жүктеңіз және клиенттен қайта тексеріңіз: оның жалпыға ортақ мекенжайы, WAN-да қалуы тиіс екінші клиент және жаңа қосылым кезіндегі туннель санағыштары.