OpenVPN ಮೂಲಕ LAN ಪ್ರವೇಶ ಮುರಿದಿದೆಯೇ? ವಲಯ, ಮಾರ್ಗ ಮತ್ತು ಹಿಂತಿರುಗುವ ದಾರಿ ಪರಿಶೀಲಿಸಿ

ಸುರಂಗವು ಯಶಸ್ವಿ ಸಂಪರ್ಕವನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ, ರೌಟರ್ನ ಸ್ವಂತ ಪುಟ ಲೋಡ್ ಆಗುತ್ತದೆ, ಆದರೆ ಅದರ ಹಿಂದಿನ ಯಂತ್ರಕ್ಕೆ ಡ್ರೈವ್ ಮ್ಯಾಪಿಂಗ್ ಇನ್ನೂ ಸಮಯ ಮೀರಿ ವಿಫಲವಾಗುತ್ತದೆ. ಈ ಸಂಯೋಜನೆಯಲ್ಲಿ ಏನೂ ವಿರೋಧಾಭಾಸವಿಲ್ಲ: ರೌಟರ್ ತಾನೇ ಆಗಿ ಉತ್ತರಿಸುತ್ತಿದೆ, ಮತ್ತು ಅದರ ಹಿಂದೆ ಏನನ್ನಾದರೂ ತಲುಪುವುದು ಬೇರೆ ಸ್ಥಳದಲ್ಲಿ ತೆಗೆದುಕೊಳ್ಳುವ ಬೇರೆ ನಿರ್ಣಯ. ಕೆಳಗಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿ ಮತ್ತು ಮೊದಲ ವೈಫಲ್ಯದಲ್ಲಿ ನಿಲ್ಲಿಸಿ, ಏಕೆಂದರೆ ಪ್ರತಿಯೊಂದೂ ಹಿಂದಿನದನ್ನು ಅವಲಂಬಿಸಿದೆ. ನಾಲ್ಕೂ ಉತ್ತೀರ್ಣವಾದರೆ ದೋಷ ಸುರಂಗದ ಒಳಗಲ್ಲ, ಮೇಲಿದೆ.

LAN ಕಡೆ ಹೋಗುವ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಯಾವ ಫಿಲ್ಟರ್ ನೋಡುತ್ತದೆ

ರೌಟರ್ಗೆ ವಿಳಾಸ ಮಾಡಿದ ಪ್ಯಾಕೆಟ್ ಸ್ಥಳೀಯವಾಗಿ ಬಳಕೆಯಾಗುತ್ತದೆ; ಅದರ ಹಿಂದಿನ ಹೋಸ್ಟ್ಗೆ ವಿಳಾಸ ಮಾಡಿದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಮುಂದಕ್ಕೆ ಕಳುಹಿಸಬೇಕು, ಮತ್ತು ಫೈರ್ವಾಲ್ಗಳು ಈ ಎರಡು ಸಂದರ್ಭಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ನಿರ್ಣಯಿಸುತ್ತವೆ. ಆದ್ದರಿಂದ ರೌಟರ್ ತಲುಪುವ ಅನುಮತಿ ಅದನ್ನು ದಾಟುವ ಅನುಮತಿ ಬಗ್ಗೆ ಏನೂ ಹೇಳುವುದಿಲ್ಲ. ತನ್ನ ನಿಯಮ ಗುಂಪುಗಳನ್ನು ಮರೆಮಾಡುವ ಫರ್ಮ್ವೇರ್ ಸಹ ಎರಡನ್ನೂ ಜಾರಿಗೊಳಿಸುತ್ತದೆ, ಸಾಮಾನ್ಯವಾಗಿ LAN, ಇಂಟರ್ನೆಟ್ ಅಥವಾ ಎರಡನ್ನೂ ನೀಡುವ ಆಯ್ಕೆಕಾರನಾಗಿ. ಆಯ್ಕೆಕಾರನು LAN ಬಿಟ್ಟರೆ, ಮುಂದಿನ ಯಾವ ಪರಿಶೀಲನೆಯೂ ಮುಖ್ಯವಲ್ಲ.

OpenWrt ಈ ವಿಭಜನೆಯನ್ನು ಪರಿಶೀಲಿಸಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ, ಮತ್ತು ಈ ವ್ಯತ್ಯಾಸವನ್ನು ಒಮ್ಮೆ ಓದುವುದು ಯೋಗ್ಯ. ಸುರಂಗವನ್ನು ಮುಗಿಸುವ ವಲಯಕ್ಕೆ LAN ವಲಯದ ಕಡೆಗೆ ತೋರಿಸುವ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವ ನಿಯಮ ಬೇಕು, ಆದರೆ ಒಳಬರುವ ನಿಯಮ ರೌಟರ್ನಲ್ಲೇ ಚಾಲನೆಯಾಗುವ ಸೇವೆಗಳನ್ನು ಮಾತ್ರ ನಿಯಂತ್ರಿಸುತ್ತದೆ. ಕೆಲಸ ಮಾಡುವ ನಿರ್ವಹಣಾ ಪುಟದ ಜೊತೆಗೆ ಸತ್ತ LAN ಇರುವುದು ಆ ಕಾಣೆಯಾದ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವ ನಿಯಮದ ಸಾಮಾನ್ಯ ಫಲಿತಾಂಶ.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

ಸುರಂಗವನ್ನು ಹೊತ್ತಿರುವ ವಲಯದ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವ ಗುರಿಯನ್ನು ನೋಡಿ: accept ಎಂಬುದು ಏಣಿಗೆ ಬೇಕಾದದ್ದು, ಮತ್ತು reject ಕೆಳಗಿನ ಪ್ರತಿ ಸಮಯ ಮೀರುವಿಕೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ. ಎರಡು ನೆರೆಯ ಸೆಟ್ಟಿಂಗ್ಗಳು ಅದೇ ಲಕ್ಷಣವನ್ನು ಉಂಟುಮಾಡುತ್ತವೆ, ಆದ್ದರಿಂದ ಇಲ್ಲಿರುವಾಗ ಅವುಗಳನ್ನು ಹೊರಗಿಡಿ. ನಿಸ್ತಂತು ಪ್ರತ್ಯೇಕತೆ ತಂತಿ ಹೋಸ್ಟ್ಗಳನ್ನು ನಿಸ್ತಂತು ಕ್ಲೈಂಟ್ಗಳಿಂದ ಮರೆಮಾಡುತ್ತದೆ, ಮತ್ತು ನಿಷ್ಕ್ರಿಯ LAN ಹೋಸ್ಟ್ಗಳನ್ನು ಆಫ್ಲೈನ್ ಎಂದು ಪರಿಗಣಿಸುವ ರೌಟರ್ ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವಿಕೆ ಕೆಲಸ ಮಾಡಿದ ನಂತರವೂ ಉತ್ತರಗಳನ್ನು ಬೀಳಿಸಬಹುದು.

ವಿಭಜಿತ ಸುರಂಗಕ್ಕೆ ತಳ್ಳಲಾದ ಪೂರ್ವಪ್ರತ್ಯಯ ಏಕೆ ಬೇಕು

ಎಲ್ಲಾ ಸಂಚಾರವನ್ನು ಸುರಂಗದ ಮೂಲಕ ಕಳುಹಿಸುವ ಕ್ಲೈಂಟ್ ತನ್ನ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗದ ಮೂಲಕ LAN ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಈಗಾಗಲೇ ಹೊಂದಿದೆ, ಆದ್ದರಿಂದ ಸೇರಿಸಲು ಏನೂ ಇಲ್ಲ. ವಿಭಜಿತ ಸುರಂಗವು ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳಬೇಕಾದ ಸಂದರ್ಭ, ಏಕೆಂದರೆ ಸಂರಚನೆಯಲ್ಲಿ ಬೇರೆ ಯಾವುದೂ ಅದನ್ನು ಉಲ್ಲೇಖಿಸುವುದಿಲ್ಲ. ಸೂಚನೆಯನ್ನು ಸರ್ವರ್ ಸಂರಚನೆಗೆ ಸೇರಿಸಿ ಮತ್ತು ಸೇವೆಯನ್ನು ಮರುಲೋಡ್ ಮಾಡಿ.

push "route 192.168.50.0 255.255.255.0"

ಒಳಗೊಂಡಿರುವ ಪ್ರೊಫೈಲ್ಗಳು route-nopull ತಳ್ಳಲಾದ ಮಾರ್ಗಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಅದೇ ಪೂರ್ವಪ್ರತ್ಯಯವು ಕ್ಲೈಂಟ್ ಫೈಲ್ನಲ್ಲಿ ಇರಬೇಕು. ಯಾವುದೇ ಸಂದರ್ಭದಲ್ಲಿ, ನಮೂದು ಬಂದಿದೆ ಎಂದು ಊಹಿಸದೆ ದೃಢೀಕರಿಸಿ, ಏಕೆಂದರೆ ಮೌನ ಬದಲಾವಣೆ ಫೈರ್ವಾಲ್ ಸಮಸ್ಯೆಯಂತೆಯೇ ಕಾಣುತ್ತದೆ.

ip route show | grep 192.168.50

ಸೈಟ್-ಟು-ಸೈಟ್ ಸಹಯೋಗಿ ತಳ್ಳುವಿಕೆಗಿಂತ ಹೆಚ್ಚಿನದನ್ನು ಕೇಳುತ್ತದೆ. ಸರ್ವರ್ ಆ ಸಹಯೋಗಿಯ ಹಿಂದೆ ಯಾವ ಪೂರ್ವಪ್ರತ್ಯಯಗಳಿವೆ ಎಂದು ತಿಳಿಯಬೇಕು, ಅದನ್ನು ಅದರ client-config-dir ಫೈಲ್ನಲ್ಲಿನ iroute ಸಾಲು ಮಾಡುತ್ತದೆ, ಮತ್ತು ಅದರ ಸ್ವಂತ ಕೋಷ್ಟಕಕ್ಕೆ ಸುರಂಗಕ್ಕೆ ಹೋಗುವ ಹೊಂದಿಕೆಯ ಮಾರ್ಗ ಬೇಕು.

ಉತ್ತರಕ್ಕೆ ಅದು ತಲುಪಬಲ್ಲ ವಿಳಾಸ ಬೇಕು

ವಿನಂತಿಯನ್ನು ಮುಂದಕ್ಕೆ ಕಳುಹಿಸುವುದು ವಿನಿಮಯದ ಅರ್ಧ ಮಾತ್ರ, ಏಕೆಂದರೆ LAN ಹೋಸ್ಟ್ ಸುರಂಗದ ಕೊಳದಲ್ಲಿನ ವಿಳಾಸಕ್ಕೆ ಉತ್ತರಿಸಬೇಕು. ಸಣ್ಣ ರೌಟರ್ಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಅದನ್ನು ಸುರಂಗದ ವಲಯದಲ್ಲಿ ಮೂಲವನ್ನು ಅನುವಾದಿಸುವ ಮೂಲಕ ಹೊಂದಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಉತ್ತರವು ರೌಟರ್ಗೆ ವಿಳಾಸವಾಗುತ್ತದೆ ಮತ್ತು ಬೇರೆ ಎಲ್ಲಿಯೂ ಸಂರಚನೆ ಬೇಕಿಲ್ಲ. ಆ ಅನುವಾದವನ್ನು ತೆಗೆದರೆ ಹೋಸ್ಟ್ಗೆ ಕೊಳಕ್ಕೆ ತನ್ನದೇ ಮಾರ್ಗ ಬೇಕು, ಅದು ರೌಟರ್ ಅದರ ಡೀಫಾಲ್ಟ್ ಗೇಟ್ವೇ ಆಗಿದ್ದಾಗ ಉಚಿತವಾಗಿ ಸಿಗುತ್ತದೆ. ಕೈಯಿಂದ ಹೊಂದಿಸಿದ ವಿಳಾಸ ಮತ್ತು ಬೇರೆ ಗೇಟ್ವೇ ಇರುವ ಹೋಸ್ಟ್ ಆ ಗೇಟ್ವೇ ಮೂಲಕ ಉತ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಕ್ಲೈಂಟ್ ಅಧಿವೇಶನ ತೆರೆದು ನಂತರ ನಿಂತುಹೋಗುವುದನ್ನು ನೋಡುತ್ತದೆ.

tcpdump -ni tun0 host 192.168.50.20

ಕ್ಲೈಂಟ್ ತನ್ನ ವಿನಂತಿಯನ್ನು ಪುನರಾವರ್ತಿಸುತ್ತಿರುವಾಗ ಇದನ್ನು ರೌಟರ್ನಲ್ಲಿ ಚಲಾಯಿಸಿ, ಮತ್ತು ವಿನಂತಿಯ ಬದಲು ಉತ್ತರದ ಗಮ್ಯಸ್ಥಾನವನ್ನು ಓದಿ. ಕೊಳಕ್ಕೆ ವಿಳಾಸವಾದ ಉತ್ತರ ಎಂದರೆ ಹಿಂತಿರುಗುವ ದಾರಿ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ ಮತ್ತು ದೋಷ ಇನ್ನೂ ಒಳಗಿದೆ. ಯಾವುದೇ ಉತ್ತರ ಇಲ್ಲದಿರುವುದು ಹೋಸ್ಟ್ ಪ್ಯಾಕೆಟ್ ಎಂದೂ ಸ್ವೀಕರಿಸಿಲ್ಲ ಎಂದರ್ಥ, ಅದು ನಿಮ್ಮನ್ನು ನಿಯಮ ಗುಂಪಿಗೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ.

ಸರಿಯಾದ ಸ್ಥಳದಲ್ಲಿ ಮುಗಿಯುವ ಏಣಿ

ನಾಲ್ಕು ಪರಿಶೀಲನೆಗಳು ಪದರವನ್ನು ಗುರುತಿಸುತ್ತವೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದೂ ತೀರ್ಪಲ್ಲ, ಒಂದೇ ಆಜ್ಞೆ. ಅವುಗಳನ್ನು ಕ್ರಮವಾಗಿ ಚಲಾಯಿಸಿ ಮತ್ತು ಮೊದಲ ವೈಫಲ್ಯದಲ್ಲಿ ನಿಲ್ಲಿಸಿ. ಕ್ರಮವು ಆಜ್ಞೆಗಳಿಗಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ, ಏಕೆಂದರೆ ನಂತರದ ಉತ್ತೀರ್ಣ ಹಂತವು ಹಿಂದಿನದು ಏಕೆ ವಿಫಲವಾಯಿತು ಎಂಬ ಕಾರಣವನ್ನು ಮರೆಮಾಡುತ್ತದೆ.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

ಹೆಸರುಗಳು ಏಣಿಯ ಕೊನೆಯಲ್ಲಿರಬೇಕು, ಎಂದಿಗೂ ಆರಂಭದಲ್ಲಲ್ಲ. 192.168.50.20 ಆಗಿ ಉತ್ತರಿಸುವ ಆದರೆ nas.local ಆಗಿ ಉತ್ತರಿಸದ ಹಂಚಿಕೆ ಹೆಸರು ವಿಭೇದೀಕರಣ ಅಥವಾ ಹುಡುಕಾಟ ಪ್ರತ್ಯಯದ ಕಡೆಗೆ ಸೂಚಿಸುತ್ತದೆ, ಮತ್ತು ಫೈರ್ವಾಲ್ ಸಂಪಾದನೆಗಳು ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಬದಲಿಸಲಾರವು.

ಮೊದಲ ವಿಫಲ ಹಂತವನ್ನು ದಾಖಲಿಸಿ, ನಂತರ ಸೇವಾ ಪೋರ್ಟ್ಗಳಿಗೆ ಅವುಗಳದೇ ಸುತ್ತು ಕೊಡಿ, ಏಕೆಂದರೆ ಆಲಿಸುವವ ಮತ್ತು ಹೋಸ್ಟ್ ಅನುಮತಿ ಪ್ರತ್ಯೇಕ ಅಗತ್ಯಗಳು. ಫೈಲ್ ಹಂಚಿಕೆ, ರಿಮೋಟ್ ಡೆಸ್ಕ್ಟಾಪ್ ಮತ್ತು ಕ್ಯಾಮೆರಾ ಸ್ಟ್ರೀಮ್ಗಳು ಎರಡನ್ನೂ ಬೇಕಾಗುತ್ತವೆ, ಮತ್ತು LAN ಉಪಜಾಲಕ್ಕೆ ನಂಬಿಕೆ ಇಟ್ಟು ಸುರಂಗದ ಕೊಳಕ್ಕೆ ಇಡದ ಹೋಸ್ಟ್ ಫೈರ್ವಾಲ್ ping ಯಶಸ್ವಿಯಾಗಿದ್ದರೂ ಕ್ಲೈಂಟ್ ಅನ್ನು ಬೀಳಿಸುತ್ತದೆ. ಎಲ್ಲಾ ಪರಿಶೀಲನೆಗಳು ಉತ್ತೀರ್ಣವಾಗಿಯೂ ಅಪ್ಲಿಕೇಶನ್ ವಿಫಲವಾದರೆ ದೋಷ ಸುರಂಗದ ಮೇಲಿದೆ: ಒಂದು ಇಂಟರ್ಫೇಸ್ಗೆ ಬಂಧಿಸಿದ ಸೇವೆ, ಅಥವಾ ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಸಂರಚಿಸಿದ ಪ್ರಾಕ್ಸಿ.