ಟನಲ್ ಮೇಲಿದೆ, ಇಂಟರ್ನೆಟ್ ಇಲ್ಲ: ಫಾರ್ವರ್ಡಿಂಗ್ ಎಲ್ಲಿ ನಿಲ್ಲುತ್ತದೆ

ಕ್ಲೈಂಟ್ ಸಂಪರ್ಕಗೊಳ್ಳುತ್ತದೆ, ಟನಲ್ ಪಿಂಗ್ ಅನ್ನು ಗೇಟ್‌ವೇವರೆಗೆ ಒಯ್ಯುತ್ತದೆ, ಮತ್ತು ಅದರಾಚೆ ಯಾವುದೂ ಉತ್ತರಿಸುವುದಿಲ್ಲ. ಈ ಸ್ಥಿತಿ ಯಾವಾಗಲೂ ರಕ್ಷಿತ ಜಾಲಗಳಿಗೆ ಪ್ರವೇಶ ನೀಡಲು ಮಾತ್ರ ಉದ್ದೇಶಿಸಿದ ಗೇಟ್‌ವೇಗೆ ಸಾಮಾನ್ಯವಾಗಿದೆ, ಮತ್ತು ಪೂರ್ಣ-ಟನಲ್ ನಿರ್ಗಮನ ಎಂದು ಜಾಹೀರಾತು ಮಾಡಿದ ಗೇಟ್‌ವೇಗೆ ಇದು ದೋಷವಾಗಿದೆ. ನಿಯಮಗಳನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಯಾವ ಸೇವೆಯ ಭರವಸೆ ನೀಡಲಾಗಿತ್ತು ಎಂದು ಖಚಿತಪಡಿಸಿ. ನಂತರ ಒಂದು ಸಾರ್ವಜನಿಕ ವಿನಂತಿಯನ್ನು ಅದು ನಿಲ್ಲಬಹುದಾದ ನಾಲ್ಕು ಸ್ಥಳಗಳ ಮೂಲಕ ಅನುಸರಿಸಿ. ಒಂದು ವಿನಂತಿ ಮತ್ತು ಒಂದು ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯುವಿಕೆ ಒಂದು ಪುಟದ ಊಹೆಗಳಿಗಿಂತ ಹೆಚ್ಚನ್ನು ನಿರ್ಣಯಿಸುತ್ತವೆ.

ಇಂಟರ್ನೆಟ್ ನಿರ್ಗಮನ ಎಂದಾದರೂ ವಿನ್ಯಾಸವಾಗಿತ್ತೇ ಎಂದು ಖಚಿತಪಡಿಸಿ

ಸ್ಪ್ಲಿಟ್-ಟನಲ್ ಪ್ರೊಫೈಲ್ ರಕ್ಷಿತ ಉಪಜಾಲಗಳನ್ನು ಮಾತ್ರ VPN ಗೆ ರವಾನಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಾರ್ವಜನಿಕ ಬ್ರೌಸಿಂಗ್ ಸ್ಥಳೀಯ ಲಿಂಕ್ ಮೂಲಕ ಮುಂದುವರಿಯುತ್ತದೆ ಮತ್ತು ಗೇಟ್‌ವೇವನ್ನು ಎಂದೂ ಸ್ಪರ್ಶಿಸುವುದಿಲ್ಲ. ಪೂರ್ಣ-ಟನಲ್ ಪ್ರೊಫೈಲ್ ಟನಲ್‌ನಲ್ಲಿ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗವನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ, ಇದು ಗೇಟ್‌ವೇವನ್ನು ಇಡೀ ಮಾರ್ಗದ ಜವಾಬ್ದಾರಿಯನ್ನಾಗಿಸುತ್ತದೆ. ಎರಡೂ ಸರಿಯಾದ ವಿನ್ಯಾಸಗಳು, ಮತ್ತು ಅವುಗಳನ್ನು ಬೆರೆಸುವುದು ದೋಷವಿಲ್ಲದಲ್ಲಿ ದೋಷ ವರದಿ ಸೃಷ್ಟಿಸುತ್ತದೆ. ಬೇರೆ ಯಾವುದನ್ನೂ ಪರೀಕ್ಷಿಸುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ಘೋಷಿಸಿದ ಮಾರ್ಗಗಳನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಮಾರ್ಗ ಕೋಷ್ಟಕ ಟಿಕೆಟ್ ಸಾಮಾನ್ಯವಾಗಿ ತಪ್ಪಾಗಿ ಇಡುವ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ.

ಕ್ಲೈಂಟ್ ಸ್ಥಾಪಿಸುವುದು ಯಾವಾಗಲೂ ಪ್ರೊಫೈಲ್ ಉದ್ದೇಶಿಸಿದ್ದಲ್ಲ. ತಳ್ಳಲಾದ ಮಾರ್ಗವನ್ನು ಕಡಿಮೆ ಮೆಟ್ರಿಕ್‌ನ ಸ್ಥಳೀಯ ಮಾರ್ಗದಿಂದ ಮೀರಿಸಬಹುದು, ಮತ್ತು ತನ್ನ LAN ಮಾರ್ಗವನ್ನು ಉಳಿಸಿಕೊಂಡು ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗ ಸೇರಿಸುವ ಕ್ಲೈಂಟ್ ಆ ಉಪಜಾಲಕ್ಕೆ ಸ್ಪ್ಲಿಟ್-ಟನಲ್‌ನಂತೆ ವರ್ತಿಸುತ್ತದೆ.

ಒಂದು ಸಾರ್ವಜನಿಕ ವಿನಂತಿಯನ್ನು ಅನುಸರಿಸಿ

ಒಂದು ಗಮ್ಯಸ್ಥಾನವನ್ನು ಆರಿಸಿ ಅದನ್ನು ಕ್ಲೈಂಟ್‌ನಿಂದ ಹೊರಮುಖವಾಗಿ ಟ್ರೇಸ್ ಮಾಡಿ. ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಪ್ಯಾಕೆಟ್ ನಿಜವಾಗಿಯೂ ಟನಲ್ ಆರಿಸುತ್ತದೆಯೇ ಮತ್ತು ಯಾವ ಸ್ಥಳೀಯ ವಿಳಾಸವನ್ನು ಮೂಲವಾಗಿ ಬಳಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ನಂತರ ಗೇಟ್‌ವೇ ಪರಿಶೀಲಿಸಿ: ಪ್ಯಾಕೆಟ್ ಬರುತ್ತದೆಯೇ, ಮತ್ತು ಸಾರ್ವಜನಿಕ ಇಂಟರ್‌ಫೇಸ್‌ನಿಂದ ಹೊರಡುತ್ತದೆಯೇ. ಈ ಉತ್ತರಗಳ ಪ್ರತಿಯೊಂದೂ ಕಾರಣದ ಸಂಪೂರ್ಣ ವರ್ಗವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

ಗೇಟ್‌ವೇ ಪ್ಯಾಕೆಟ್ ಎಂದೂ ಕಾಣದಿದ್ದರೆ, ಕ್ಲೈಂಟ್ ಮಾರ್ಗ ಅಥವಾ ಟನಲ್ ಆಯ್ಕೆ ತಪ್ಪು. ಪ್ಯಾಕೆಟ್ ಬಂದು ಹೊರಡದಿದ್ದರೆ, ಸಮಸ್ಯೆ ಗೇಟ್‌ವೇಯಲ್ಲಿದೆ, ಮತ್ತು ಉಳಿದ ಮೂರು ಪರಿಶೀಲನೆಗಳು ಅನ್ವಯಿಸುತ್ತವೆ.

ಫಾರ್ವರ್ಡಿಂಗ್, ಮಾರ್ಗ ಮತ್ತು ಅನುವಾದ ಪರಿಶೀಲಿಸಿ

strongSwan ಜೊತೆ ಬರುವ ಫಾರ್ವರ್ಡಿಂಗ್ ಮಾರ್ಗದರ್ಶಿ ಯಾವುದೇ ಟನಲ್ ಪ್ರಕಾರದ ಗೇಟ್‌ವೇಗೆ ಅನ್ವಯಿಸುತ್ತದೆ: ಕರ್ನಲ್‌ಗೆ ಇಂಟರ್‌ಫೇಸ್‌ಗಳ ನಡುವೆ ಪ್ಯಾಕೆಟ್ ಸಾಗಿಸಲು ಅನುಮತಿ ಇರಬೇಕು, ಮತ್ತು ಬಳಸಬಹುದಾದ ಮಾರ್ಗ ಇಂಟರ್ನೆಟ್‌ನತ್ತ ತೋರಿಸಬೇಕು. ನಂತರ ಫೈರ್‌ವಾಲ್ ನೀತಿ ಸಂಚಾರಕ್ಕೆ ಅನುಮತಿ ನೀಡಬೇಕು, ಮತ್ತು ಮೂಲ ವಿಳಾಸವು ಸಾರ್ವಜನಿಕ ಬದಿ ಉತ್ತರಿಸಬಹುದಾದಂತಹದ್ದಾಗಿರಬೇಕು. ಖಾಸಗಿ ಕ್ಲೈಂಟ್ ವಿಳಾಸ ಬದಲಾವಣೆಯಿಲ್ಲದೆ ಇಂಟರ್ನೆಟ್‌ಗೆ ರವಾನೆಯಾದರೆ ಎಂದೂ ಉತ್ತರ ಪಡೆಯುವುದಿಲ್ಲ.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

ಮೂಲ ಅನುವಾದ ಸಾಮಾನ್ಯವಾಗಿ ಕಾಣೆಯಾದ ಭಾಗ. ಅದರಿಂದ ಗೇಟ್‌ವೇ ಕ್ಲೈಂಟ್‌ನ ಮೂಲವನ್ನು ತನ್ನ ಸಾರ್ವಜನಿಕ ವಿಳಾಸಕ್ಕೆ ಮರುಬರೆಯುತ್ತದೆ ಮತ್ತು ಹರಿವನ್ನು ಗಮನಿಸುತ್ತದೆ; ಅದಿಲ್ಲದೆ ಉತ್ತರಕ್ಕೆ ಹೋಗಲು ಸ್ಥಳವಿಲ್ಲ. ಕ್ಲೌಡ್ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ಗಳು ಎರಡನೇ ಮಿತಿಯನ್ನು ಸೇರಿಸುತ್ತವೆ, ಅಲ್ಲಿ ಇನ್‌ಸ್ಟಾನ್ಸ್‌ನ ಮಾರ್ಗ ಕೋಷ್ಟಕ ಅಥವಾ ಭದ್ರತಾ ಗುಂಪು ಅತಿಥಿ ಫೈರ್‌ವಾಲ್ ಅನುಮತಿಸುವ ಸಂಚಾರವನ್ನು ಬಿಡಬಹುದು. ಈ ಮಿತಿಯನ್ನು ತಪ್ಪಿಸಿಕೊಳ್ಳುವುದು ಸುಲಭ ಏಕೆಂದರೆ ಅತಿಥಿ ವ್ಯವಸ್ಥೆ ಒಳಗಿನಿಂದ ಸರಿಯಾಗಿ ಸಂರಚಿಸಲ್ಪಟ್ಟಂತೆ ಕಾಣುತ್ತದೆ.

ಅಸಮ್ಮಿತ ಸಂರಚನೆಯಲ್ಲಿ ಹಿಮ್ಮುಖ-ಮಾರ್ಗ ಶೋಧನೆಯೂ ಮಾನ್ಯ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಬಿಡಬಹುದು. ಆ ನಿಯಮದ ಕೌಂಟರ್ ಓದಿ, ಎಲ್ಲವೂ ಸರಿಯಿದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು, ಏಕೆಂದರೆ ಸಾರ್ವಜನಿಕ ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಕಟ್ಟುನಿಟ್ಟಿನ ಸೆಟ್ಟಿಂಗ್ ಮಾರ್ಗ ಕೋಷ್ಟಕ ಊಹಿಸಿದಕ್ಕಿಂತ ಬೇರೆ ಮಾರ್ಗದಿಂದ ಬರುವ ಸಂಚಾರವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ.

ಉತ್ತರ ಮಾರ್ಗ ಮತ್ತು ಪರಿಹಾರಕ ಎರಡು ಬೇರೆ ಉತ್ತರಗಳು

ವಿನಂತಿ ಮಾತ್ರವಲ್ಲ, ಉತ್ತರವನ್ನೂ ಗಮನಿಸಿ. ವಿನಂತಿ ಅನುವಾದಿತವಾಗಿ ಹೊರಟು ಉತ್ತರ ಅನುವಾದಿತ ಹರಿವಿಗೆ ಮರಳಿದರೆ, ಅಪ್ಲಿಕೇಶನ್ ಇನ್ನೂ ವಿಫಲವಾದರೂ ಫಾರ್ವರ್ಡಿಂಗ್ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಮುಂದಿನ ತನಿಖೆ ಅಪ್ಲಿಕೇಶನ್ ಅಥವಾ DNS ನದು.

HTTP ದೋಷವನ್ನು ಹಿಂತಿರುಗಿಸುವ ಸೈಟ್ ಇಂಟರ್ನೆಟ್‌ಗೆ ಫಾರ್ವರ್ಡಿಂಗ್ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿ. ವಿಳಾಸದ ಮೂಲಕ ಪ್ರವೇಶ ಕೆಲಸ ಮಾಡುತ್ತಿರುವಾಗ ಪರಿಹರಿಸದ ಹೆಸರು ಪರಿಹಾರಕದ ಸಮಸ್ಯೆ, NAT ನದಲ್ಲ.

ನಿಖರ ಸುಧಾರಣೆಯ ನಂತರ ಕ್ಲೈಂಟ್ ಮತ್ತು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸೀಮಿತಗೊಳಿಸಿದ ಯಾವುದೇ ಖಾಸಗಿ ಸಂಪನ್ಮೂಲವನ್ನು ಮತ್ತೆ ಪರೀಕ್ಷಿಸಿ. ಇಂಟರ್ನೆಟ್ ಪ್ರವೇಶ ನೀಡುವುದು ಗೇಟ್‌ವೇಗೆ ಸಂಪರ್ಕಿಸಿದ ಪ್ರತಿ ಜಾಲಕ್ಕೂ ಪ್ರವೇಶವನ್ನು ಮೌನವಾಗಿ ವಿಸ್ತರಿಸಬಾರದು.