VPN клиентінің артындағы сервер неге туннель арқылы жауап береді

Жауаптар келу жолының орнына VPN-ның әдепкі маршрутын ұстанса, кіріс қосылымдары сәтсіз аяқталады. Саясаттық маршруттау немесе бастапқы NAT қайтару жолын қалпына келтіреді.

VPN клиентін де іске қосатын хостқа кіріс қосылымдары өте ерекше түрде сәтсіз аяқталады: қол алысу келеді, демон жауап береді, ал клиент ештеңе алмайды. Портты ештеңе бөгемейді. Жауап туннельден шықты, себебі туннель әдепкі маршрутқа ие және ядро жауаптарды межелік бойынша маршруттайды, сұраныс қайдан келгенін есте сақтау бойынша емес. Демон дұрыс және порт ашық.

Жауап маршрутталады, есте сақталмайды

Әдепкі маршрутты орнататын VPN клиенті LAN қақпасынан асып түсетін жазба қосады, не метрика бойынша, не кеңістікті екі нақтырақ жартыға бөлу арқылы. Шығыс пакеттер енді туннель интерфейсін таңдайды. Ядро жауап беріліп жатқан пакеттің бастапқыда қайдан келгенін ешқашан сұрамайды. Сол бір қалу барлық келесі белгілерді түсіндіреді.

Алға бағыт межелік бойынша маршрутталады, кері бағыт та солай. Жауап туннель қуана таситын жария клиентке арналған. Алыс жақ өзіне тиесілі емес көзі бар пакетті алады, оны тастайды, ал бастапқы клиент уақыт біткенше күтеді.

Қатаң кері жол сүзгісі кіріс пакетті демон оқығанға дейін тастай алады. Алдымен сол санауышты тексеріңіз, өйткені сүзгіден тастау мен маршруттау қатесі сырттан бірдей көрінеді.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Бірінші пәрмен қазір қай әдепкі маршрут жеңіп тұрғанын көрсетеді. Екіншісі қатаң сүзгінің жаһандық немесе әрбір интерфейс үшін қолданылатынын хабарлайды, ал үшіншісі қатысуы мүмкін кез келген жіберу тізбегінің ережесін көрсетеді.

Қайтару жолын сақтаудың үш жолы

Қызмет межелігін туннельден тыс қалдыру ең тар нұсқа. LAN қақпасына бағытталған хост маршруты, оның үстіне барлық мекенжайға емес, физикалық мекенжайға байланған демон сол бір ағынды туннельден тыс ұстайды. Өзгеріс жергілікті және кері қайтаруға оңай.

Саясаттық маршруттау жалпы жауап. Бастапқы мекенжайға немесе брандмауэр белгісіне байланған ереже әдепкісі WAN қақпасына көрсететін кестені таңдайды, ал хосттың өз қосылымдары туннельді пайдалануды жалғастырады. Басымдықты айқын ұстаңыз, сонда ереже кейін көлеңкеде қалмайды.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Алғашқы екі пәрмен жария мекенжайдан шыққан жауаптар үшін балама жол салады. Үшіншісі ядродан дәл сол бастапқы мен межеліктің қай жолды алатынын сұрайды, осылайша ереженің қандай да бір әсері бар екенін растайсыз.

Бастапқыны түрлендіру үшінші нұсқа және қызметтің алдында NAT жасап жатқан маршрутизаторға төтеп беретін жалғыз нұсқа. Жауап сол маршрутизаторға қайтуы керек, ал WAN интерфейсіне маскалау мұны қамтамасыз етеді және клиентті қызмет журналдарынан жасырады. Қосылғаннан кейін әдепкі маршрутты қолмен ауыстыру — диагностика, өйткені клиент келесі қайта қосылуда кестені қайта жазады.

Қорап LAN үшін де маршруттағанда

Сол ақау хост өзінің артындағы құрылғылар үшін маршруттағанда бір секіріс әрірек пайда болады. Кіріс қосылым жалғыз қайтару жолы туннель болып табылатын ішкі құрылғыға жіберіледі, ал жауап провайдер мекенжайынан сыртқы клиентке жетеді. Ішкі құрылғы бүкіл уақыт бойы дұрыс жұмыс істейді.

Сонда байланыстарды бақылау ешқашан тіркемеген ағынға жауапты көріп, оны тастайды. Межелікті түрлендіру кіріс қосылымды құрылғыға жеткізеді, ал бастапқыны түрлендіру жауапты маршрутизатордың өзінен шыққандай көрсетеді.

Жіберілген портты WAN-да ұстап, маршрутизатордың өз трафигі туннельді пайдаланатын саясат маршруты — нетұрлым таза балама. Бастапқыны түрлендірусіз жауап сыртқы клиентке арналады, ал ішкі құрылғының сол мекенжайға мүлдем маршруты жоқ.

Себептерді ажырататын үш тексеру

Үш тексеру жүргізіңіз: интернеттен қорапқа қосылым, одан жария хостқа қосылым және атау іздеу. Алғашқы екеуі келіспесе, қайтару жолы кінәлі. Атаулар екі бағытта да сәтсіз болса, шешуші — туннельді ғана бөлісетін басқа ақау.

Алдымен маршруттау мәселесін түзетіңіз, содан кейін атауларға қараңыз. Екеуін араластыру — жұмыс істеп тұрған серверді бұзылған шешуші үшін кінәлаудың жолы.

Ерекшелік қай интерфейсті атайтынын жазып алыңыз және конфигурацияны нұсқа бақылауында ұстаңыз. Жаңартудан кейін аты өзгеретін интерфейске қарсы жазылған ереже бүгін өтеді және келесі қайта жүктеуден кейін сәтсіз болады.

Қатысты мақалалар