OpenVPN арқылы LAN-ға кіру бұзылды ма? Аймақтарды, маршруттарды және қайту жолын тексеріңіз

Маршрутизатор жауап береді, себебі ол жергілікті. Оның артындағы машинаға жету үшін жіберу ережесі, клиенттегі префикс және жауаптың қайту жолы қажет.

Туннель сәтті қосылым туралы хабарлайды, маршрутизатордың өз беті жүктеледі, ал оның артындағы машинаға дискіні бейнелеу әлі де уақыт бітіп сәтсіз аяқталады. Бұл үйлесімде қайшылық жоқ: маршрутизатор өзі ретінде жауап береді, ал оның артындағы бірдеңеге жету басқа жерде қабылданған басқа шешім. Төмендегі тексерулерді ретімен орындап, алғашқы сәтсіздікте тоқтаңыз, өйткені әрқайсысы алдыңғысына сүйенеді. Төртеуі де өтсе, ақау туннельдің ішінде емес, үстінде.

LAN-ға бара жатқан пакетті қай сүзгі көреді

Маршрутизаторға адрестелген пакет жергілікті тұтынылады; оның артындағы хостқа адрестелген пакетті жіберу керек, және firewalls бұл екі жағдайды бөлек бағалайды. Сондықтан маршрутизаторға жету рұқсаты одан өту рұқсаты туралы ештеңе айтпайды. Өз ереже жиынтықтарын жасыратын firmware бәрібір екеуін де іске асырады, әдетте LAN, интернет немесе екеуін ұсынатын таңдаушы ретінде. Егер таңдаушы LAN-ды қалдырып кетсе, кейінгі ешбір тексеру маңызды болмайды.

OpenWrt бұл бөлінуді тексеруге қолжетімді етеді, және айырмашылық бір рет оқуға тұрарлық. Туннельді аяқтайтын аймаққа LAN аймағына бағытталған жіберу ережесі қажет, ал кіру ережесі тек маршрутизатордың өзіндегі қызметтерді реттейді. Жұмыс істейтін әкімшілік бетінің жанында өлі LAN болуы сол жетіспейтін жіберу ережесінің әдеттегі нәтижесі.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Туннельді тасымалдайтын аймақтың жіберу мақсатын қараңыз: accept — баспалдаққа керегі, ал reject төмендегі әрбір уақыт бітімін түсіндіреді. Екі көрші параметр бір белгі береді, сондықтан осында болғанда оларды да шығарып тастаңыз. Сымсыз оқшаулау сымды хосттарды сымсыз клиенттерден жасырады, ал бос LAN хосттарын офлайн деп санайтын маршрутизатор жіберу жұмыс істегеннен кейін де жауаптарды тастай алады.

Неге бөлінген туннельге итерілген префикс қажет

Барлық трафикті туннель арқылы жіберетін клиентте LAN префиксі әдепкі маршруты арқылы бұрыннан бар, сондықтан қосатын ештеңе жоқ. Бөлінген туннель префиксті анық көрсетуді талап ететін жағдай, өйткені конфигурацияда басқа ештеңе оны атамайды. Директиваны сервер конфигурациясына қосып, қызметті қайта жүктеңіз.

push "route 192.168.50.0 255.255.255.0"

Құрамында route-nopull бар профильдер итерілген маршруттарды елемейді, сондықтан сол префикс клиент файлына тиесілі. Кез келген жағдайда жазбаның келгенін растаңыз, болжамаңыз, өйткені үнсіз алмастыру firewalls мәселесіне тура ұқсайды.

ip route show | grep 192.168.50

Сайт-сайт серіктесі итеруден көбін талап етеді. Сервер сол серіктестің артында қандай префикстер тұрғанын білуі керек, мұны оның client-config-dir файлындағы iroute жолы жасайды, ал оның өз кестесіне туннельге кіретін сәйкес маршрут керек.

Жауапқа жетуге болатын адрес қажет

Сұранысты жіберу айырбастың жартысы ғана, өйткені LAN хост туннель пулындағы адреске жауап беруі керек. Шағын маршрутизаторлар мұны әдетте көзді туннель аймағында түрлендіру арқылы реттейді, сондықтан жауап маршрутизаторға адрестеледі және басқа жерде конфигурация қажет емес. Сол түрлендіруді алып тастасаңыз, хостқа пулға өз маршруты керек болады, оны маршрутизатор оның әдепкі шлюзі болғанда тегін алады. Қолмен қойылған адресі және басқа шлюзі бар хост сол шлюз арқылы жауап береді, ал клиент сессияның ашылып, содан кейін тұрып қалғанын көреді.

tcpdump -ni tun0 host 192.168.50.20

Клиент сұранысын қайталап жатқанда мұны маршрутизаторда іске қосыңыз, және сұраныстың өзін емес, жауаптың межелі жерін оқыңыз. Пулға адрестелген жауап қайту жолы жұмыс істеп тұрғанын және ақаудың тереңірек екенін білдіреді. Жауап мүлдем болмауы хост пакетті ешқашан қабылдамағанын білдіреді, бұл сізді ереже жиынтығына қайтарады.

Дұрыс жерде аяқталатын баспалдақ

Төрт тексеру қабатты анықтайды, және әрқайсысы үкім емес, бір команда. Оларды ретімен іске қосып, алғашқы сәтсіздікте тоқтаңыз. Рет командалардан маңыздырақ, өйткені кейінгі өткен қадам бұрынғының неге сәтсіз болғанын жасырады.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Атаулар баспалдақтың соңына тиесілі, ешқашан басына емес. 192.168.50.20 ретінде жауап беретін, бірақ nas.local ретінде бермейтін ортақ қалта атауларды шешуге немесе іздеу жұрнағына нұсқайды, ал firewalls өңдеулері екеуін де өзгерте алмайды.

Алғашқы сәтсіз қадамды жазып алыңыз, содан кейін қызмет порттарына өз кезегін беріңіз, өйткені тыңдаушы мен хост рұқсаты бөлек талаптар. Файл алмасу, қашықтағы жұмыс үстелі және камера ағындары екеуін де қажет етеді, ал LAN қосымша желісіне сенетін, бірақ туннель пулына сенбейтін хост firewalls ping әлі өтіп жатқанда клиентті тастайды. Барлық тексерулер өткенімен қолданба әлі істемесе, ақау туннельдің үстінде: бір интерфейске байланған қызмет немесе клиентте конфигурацияланған прокси.

Қатысты мақалалар