ಬ್ರಿಡ್ಜ್ ಮಾಡಿದ OpenVPN ಕ್ಲೈಂಟ್‌ಗಳಿಗೆ ಇಂಟರ್ನೆಟ್ ಇಲ್ಲವೇ? NAT ನಿಯಮವನ್ನು ಪರಿಶೀಲಿಸಿ

ಬ್ರಿಡ್ಜ್ ಮಾಡಿದ ಸರ್ವರ್ ಚಾಲನೆಯಲ್ಲಿದೆ, masquerade ನಿಯಮವೂ ಇದೆ, ಆದರೂ ಕ್ಲೈಂಟ್‌ನ ಬ್ರೌಸರ್ ತಿರುಗುತ್ತಲೇ ಇದೆ. ಎಲ್ಲವೂ ಕೆಲಸ ಮಾಡಬೇಕೆಂದು ಕಾಣುತ್ತದೆ, ಮತ್ತು ಅದಕ್ಕೇ ಮೊದಲ ಗಂಟೆ ಟನೆಲ್ ಮತ್ತು ಲಾಗಿನ್ ಮಾಹಿತಿಯನ್ನು ಪರಿಶೀಲಿಸುವುದರಲ್ಲಿ ಕಳೆಯುತ್ತದೆ. ನಂತರ NAT ನಿಯಮದ ಕೌಂಟರ್ ಓದಿದಾಗ ಚಲಿಸದ ಶೂನ್ಯ ಕಾಣುತ್ತದೆ. ಒಂದೂ ಪ್ಯಾಕೆಟ್ ಎಣಿಸದ ನಿಯಮ ಎಂದಿಗೂ ಯಾವುದೇ ಪ್ಯಾಕೆಟ್‌ಗೆ ಹೊಂದಿಕೆಯಾಗಿಲ್ಲ, ಮತ್ತು ಬ್ರಿಡ್ಜ್ ಸರ್ವರ್‌ನಲ್ಲಿ ಕಾರಣ ರಚನಾತ್ಮಕ: ಕ್ಲೈಂಟ್ ಸಂಚಾರ ವರ್ಚುವಲ್ tap ಸಾಧನದ ಮೂಲಕ ಹೊರಹೋಗುತ್ತದೆ, ಆದರೆ ನಿಯಮ ಹಳೆಯ ಮಾರ್ಗದರ್ಶಿಯಿಂದ ನಕಲಿಸಿದ ಭೌತಿಕ ಕಾರ್ಡ್ ಹೆಸರಿಸುತ್ತದೆ.

ಸಾಕ್ಷ್ಯ ಕೌಂಟರ್, ಕೋಷ್ಟಕದ ಸಾಲಲ್ಲ

ಇರುವ ನಿಯಮಗಳು ಮತ್ತು ಹೊಂದಿಕೆಯಾಗುವ ನಿಯಮಗಳು ಬೇರೆ ಬೇರೆ ವಿಷಯಗಳು, ಮತ್ತು ಕೌಂಟರ್ ಅವನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ. NAT ಕೋಷ್ಟಕವನ್ನು ವಿವರವಾದ ಕೌಂಟರ್‌ಗಳೊಂದಿಗೆ ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಪ್ರತಿ ನಿಯಮದ ಪಕ್ಕದ ಸಂಖ್ಯೆಗಳನ್ನು ಓದಿ. ಸಂಚಾರ ಹರಿಯುತ್ತಿರುವಾಗ ಶೂನ್ಯದಲ್ಲಿ ನಿಂತಿರುವ ಕೌಂಟರ್ ಎಂದರೆ ನಿಯಮವನ್ನು ಬಿಟ್ಟುಬಿಡಲಾಗಿದೆ, ಅದರ ವಿಳಾಸಗಳು ಎಷ್ಟೇ ಸಮಂಜಸವಾಗಿ ಕಂಡರೂ. ಸಂಪರ್ಕ ವಿಫಲವಾಗುತ್ತಿದ್ದರೂ ಏರುತ್ತಿರುವ ಕೌಂಟರ್ ನಿಮ್ಮನ್ನು ಬೇರೆಡೆಗೆ ಕಳುಹಿಸುತ್ತದೆ: ಫಾರ್ವರ್ಡಿಂಗ್, ಹಿಂತಿರುಗುವ ದಾರಿ ಅಥವಾ ದೂರದ ತುದಿ.

iptables -t nat -L POSTROUTING -v -n

ಮೊದಲು ಇಂಟರ್‌ಫೇಸ್ ಹೊಂದಾಣಿಕೆಯ ಪಕ್ಕದ ಕೌಂಟರ್ ಓದಿ. ಮೂಲ ಶ್ರೇಣಿ ಸರಿಯಾಗಿದ್ದು ಹೊರಹೋಗುವ ಬದಿ ತಪ್ಪಾಗಿದ್ದರೆ, ಸರಿಪಡಿಸುವಿಕೆ ಹೊಸ ನಿಯಮವಲ್ಲ, ನಿಯಮದೊಳಗಿನ ಒಂದು ಪದ.

ಕರ್ನಲ್ ನಿಜವಾಗಿ ದಾಖಲಿಸುವ ಹೆಸರನ್ನು ಹುಡುಕಿ

ನಿಯಮ ಬರೆಯುವ ಮೊದಲು ಜ್ಞಾಪಕದ ಬದಲು ಇಂಟರ್‌ಫೇಸ್ ಪಟ್ಟಿ ಬಳಸಿ ಟನೆಲ್ ಸಾಧನವನ್ನು ಹೆಸರಿನಿಂದ ಗುರುತಿಸಿ. ಬ್ರಿಡ್ಜ್ ಮಾಡಿದ OpenVPN ಸಂರಚನೆಯಲ್ಲಿ ಸಾಧನ ಸಾಮಾನ್ಯವಾಗಿ ಸರ್ವರ್ ರಚಿಸಿದ tap ಇಂಟರ್‌ಫೇಸ್ ಆಗಿರುತ್ತದೆ, ಮತ್ತು ಅದರ ಹೆಸರು ನಿಮ್ಮ ಸ್ಥಳೀಯ ಸಂರಚನೆಯ ಭಾಗ, ಸಾರ್ವತ್ರಿಕ ಸ್ಥಿರಾಂಕವಲ್ಲ. ಟನೆಲ್ ಚಾಲನೆಯಲ್ಲಿರುವಾಗ ಅದು ಇದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಗೊಂಡ ನಂತರವೇ ಕಾಣುವ ಸಾಧನವು ಹಿಂದಿನ ಪರೀಕ್ಷೆಯನ್ನು ನಿಯಮದ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣಿಸುತ್ತದೆ.

ip -brief link

ಹೆಸರನ್ನು ಬರೆದಿಡಿ. ಈ ರೋಗನಿರ್ಣಯದ ಪ್ರತಿ ಮುಂದಿನ ಆದೇಶವೂ ಅದನ್ನು ಉಲ್ಲೇಖಿಸುತ್ತದೆ, ಮತ್ತು ಇಲ್ಲಿ ಮಾಡುವ ಟೈಪಿಂಗ್ ತಪ್ಪು ಮೂಲ ತಪ್ಪಿನಂತೆಯೇ ಅದೇ ಶೂನ್ಯ ಕೌಂಟರ್ ನೀಡುತ್ತದೆ.

ಟನೆಲ್ ಸಾಧನದ ವಿರುದ್ಧ ನಿಯಮವನ್ನು ಮತ್ತೆ ಬರೆಯಿರಿ

ನಿಯಮವನ್ನು ಟನೆಲ್ ಸಾಧನದ ಕಡೆಗೆ ತಿರುಗಿಸಿ ಮತ್ತು ಕ್ಲೈಂಟ್ ಶ್ರೇಣಿಯನ್ನು ಅದರ ಹೊಂದಾಣಿಕೆ ಷರತ್ತಾಗಿ ಉಳಿಸಿ, ಇದರಿಂದ ಅದು ಟನೆಲ್ ಸಂಚಾರವನ್ನು ಆವರಿಸುತ್ತದೆ ಮತ್ತು ಹೋಸ್ಟ್‌ನ ಸ್ವಂತ ಸಂಪರ್ಕಗಳನ್ನು ಅಸ್ಪೃಶ್ಯವಾಗಿ ಬಿಡುತ್ತದೆ. ನಿಮ್ಮ ಸ್ವಂತ ಶ್ರೇಣಿ ಮತ್ತು ಸಾಧನದ ಹೆಸರನ್ನು ಹಾಕಿ, ಏಕೆಂದರೆ ಕೆಳಗಿನ ಎರಡೂ ಉದಾಹರಣೆಗಳು ಮತ್ತು ಯಾವುದೂ ಸ್ಥಾಪನೆಗಳ ನಡುವೆ ಸಾಗಿಸಲಾಗದು.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

ನಂತರ ಅದೇ ಲಕ್ಷಣ ಮರೆಮಾಡುವ ಇತರ ಎರಡು ಷರತ್ತುಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. ಫಾರ್ವರ್ಡಿಂಗ್ ಆನ್ ಆಗಿದೆಯೇ ಎಂದು ನೋಡಿ, ಇಲ್ಲದಿದ್ದರೆ ಮರುಪ್ರಾರಂಭದಲ್ಲಿ ಮಾಯವಾಗುವ echo ಬಳಸಿ ಅಲ್ಲ, ವಿತರಣೆಯ ಸ್ವಂತ ಸಂರಚನೆಯಲ್ಲಿ ಅದನ್ನು ಆನ್ ಮಾಡಿ. forward ಸರಪಳಿಯ ಕೌಂಟರ್‌ಗಳನ್ನೂ ಓದಿ, ಮತ್ತು ಅದು ಟನೆಲ್ ಸಂಚಾರವನ್ನು ಬೀಳಿಸಿದರೆ ಆ ಇಂಟರ್‌ಫೇಸ್‌ಗೆ ಮಾತ್ರ ಅನುಮತಿ ನೀಡಿ ಮತ್ತು ಸರಪಳಿಯ ನೀತಿಯನ್ನು ಮುಟ್ಟಬೇಡಿ.

ಕೌಂಟರ್‌ಗಳೊಂದಿಗೆ forward ಸರಪಳಿ ಓದಲು ಒಂದೇ ಆದೇಶ ಸಾಕು ಮತ್ತು ಇನ್ನೊಂದು ನಿಯಮವನ್ನು ಮುಟ್ಟುವ ಮೊದಲು ಉಳಿದ ಅರ್ಧ ಸಾಧ್ಯತೆಗಳನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಭೌತಿಕ ಕಾರ್ಡ್ ಎಂದಿಗೂ ಹೊಂದಿಕೆಯಾಗದ ಕಾರಣ

ಬ್ರಿಡ್ಜ್ ಎಂಬುದು tap ಸಾಧನ ಮತ್ತು ಒಂದು ಭೌತಿಕ ಇಂಟರ್‌ಫೇಸ್‌ನಿಂದ ಜೋಡಿಸಲಾದ ಸಾಫ್ಟ್‌ವೇರ್ ಸ್ವಿಚ್. ಕ್ಲೈಂಟ್‌ನ ಫ್ರೇಮ್ ಆ ಸ್ವಿಚ್‌ಗೆ ಪ್ರವೇಶಿಸಿ ಕಾರ್ಡ್‌ನ ಪ್ಯಾಕೆಟ್ ಆಗಿ ಅಲ್ಲ, ಬ್ರಿಡ್ಜ್‌ನ ಸದಸ್ಯನಾಗಿ ಭೌತಿಕ ಜಾಲದ ಕಡೆಗೆ ಹೊರಹೋಗುತ್ತದೆ. ಆದ್ದರಿಂದ ಕರ್ನಲ್ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಬ್ರಿಡ್ಜ್ ಮತ್ತು ಅದರ ಪೋರ್ಟ್‌ಗೆ ಆರೋಪಿಸುತ್ತದೆ, ಮತ್ತು ನೀವು ಯೋಚಿಸಿದ್ದ ಕಾರ್ಡ್ ಹೊಂದಾಣಿಕೆಯಲ್ಲಿ ಎಂದಿಗೂ ಕಾಣದಿರುವುದಕ್ಕೆ ಅದೇ ಕಾರಣ. ಭೌತಿಕ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಏನೂ ಕೆಟ್ಟಿಲ್ಲ; ಅದು ಕರ್ನಲ್ ಆ ಪ್ಯಾಕೆಟ್‌ಗೆ ಆರೋಪಿಸುವ ಸಾಧನವಲ್ಲ ಅಷ್ಟೇ.

ಜನರು ಮುಂದೆ ಎದುರಿಸುವ ಸಮಸ್ಯೆ ಅದೇ ರಚನೆಯಿಂದ ಬರುತ್ತದೆ: ಬ್ರಿಡ್ಜ್‌ನಲ್ಲಿ ಫ್ರೇಮ್ ಫಿಲ್ಟರಿಂಗ್ IP ಫಿಲ್ಟರಿಂಗ್‌ಗಿಂತ ಪ್ರತ್ಯೇಕ ಸೌಲಭ್ಯ. ಅಗತ್ಯವು ಫ್ರೇಮ್ ಮಟ್ಟದ ನಿರ್ಬಂಧವಾಗಿದ್ದರೆ, ಅದು ಬ್ರಿಡ್ಜ್ ಫಿಲ್ಟರಿಂಗ್‌ಗೆ ಸೇರುತ್ತದೆ, IP ಕೋಷ್ಟಕದ ನಿಯಮಕ್ಕಲ್ಲ.

ಆರಂಭದಿಂದ ಕೊನೆಯವರೆಗೆ ಸಾಬೀತುಪಡಿಸಿ, ನಂತರ ಶಾಶ್ವತಗೊಳಿಸಿ

ಒಂದು ಕ್ಲೈಂಟ್ ಎಬ್ಬಿಸಿ ಸರ್ವರ್‌ನ LAN ನಲ್ಲಿ ಏನಾದರೂ ping ಮಾಡಿ; ಆ ದಾರಿ ಯಾವುದೇ ಅನುವಾದವಿಲ್ಲದೆ ಫಾರ್ವರ್ಡಿಂಗ್ ಅನ್ನು ಅಭ್ಯಾಸ ಮಾಡುತ್ತದೆ. ನಂತರ masquerade ನಿಯಮ ಬಳಸಲೇಬೇಕಾಗುವಂತೆ ಸಾರ್ವಜನಿಕ ಏನನ್ನಾದರೂ ಕೇಳಿ ಮತ್ತು ಕೌಂಟರ್ ಅನ್ನು ಮತ್ತೊಮ್ಮೆ ಓದಿ: ಅದು ಈ ಪರೀಕ್ಷೆಗೆ ಚಲಿಸಬೇಕು, ಹಿಂದಿನದಕ್ಕಲ್ಲ. ಟನೆಲ್ ಸಾಧನದಲ್ಲಿ ತೆಗೆದ ಸೆರೆ ಫ್ರೇಮ್ ಎಲ್ಲಿ ಕಾಣುತ್ತದೆ ಮತ್ತು ಯಾವ ವಿಳಾಸ ಹೊತ್ತಿದೆ ಎಂಬುದನ್ನು ಒಟ್ಟಿಗೆ ತೋರಿಸುತ್ತದೆ.

ಕೊನೆಯ ಹಂತ: ಕೆಲಸ ಮಾಡುವ ನಿಯಮಗಳನ್ನು ಮರುಪ್ರಾರಂಭ ಓದುವ ಸಂರಚನೆಗೆ ಹಾಕಿ ಮತ್ತು ಈ ಹೋಸ್ಟ್‌ನ ಬ್ರಿಡ್ಜ್ ನಿಜವಾಗಿ ಬಳಸುವ ಸಾಧನದ ಹೆಸರನ್ನು ಟಿಪ್ಪಣಿ ಮಾಡಿ. ಕೈಯಿಂದ ಟೈಪ್ ಮಾಡಿದ ಯಾವುದೂ ಮರುಪ್ರಾರಂಭದ ನಂತರ ಹೋಗುತ್ತದೆ, ಮತ್ತು ಅದೇ ದೋಷ ವಿವರಿಸಲು ಏನೂ ಉಳಿಯದೆ ಮತ್ತೆ ಬರುತ್ತದೆ.

ಮತ್ತೆ ಬರೆದ ನಂತರವೂ ಕೌಂಟರ್ ಚಲಿಸದಿದ್ದರೆ, ನಿಯಮದ ಮೂಲ ಶ್ರೇಣಿಯನ್ನು ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಪಡೆದ ವಿಳಾಸದೊಂದಿಗೆ ಹೋಲಿಸಿ, ಏಕೆಂದರೆ ಬ್ರಿಡ್ಜ್ ಸರ್ವರ್ ನೀವು ಉದ್ದೇಶಿಸದ ಶ್ರೇಣಿಯಿಂದ ವಿಳಾಸಗಳನ್ನು ನೀಡಬಹುದು.