터널은 올라갔지만 인터넷이 없다: 전달이 멈추는 곳

클라이언트가 연결되고 터널이 핑을 게이트웨이까지 운반하지만 그 너머에서는 아무것도 응답하지 않습니다. 이 상태는 보호된 네트워크 접근만을 목적으로 한 게이트웨이에서는 정상이며, 전체 터널 출구로 광고된 게이트웨이에서는 결함입니다. 규칙을 바꾸기 전에 어떤 서비스가 약속되었는지 확인하십시오. 그다음 하나의 공개 요청을 멈출 수 있는 네 지점을 따라 추적하십시오. 요청 하나와 패킷 캡처 한 번이 한 페이지의 추측보다 더 많은 것을 결정합니다.

인터넷 출구가 애초에 설계였는지 확인하십시오

분할 터널 프로필은 보호된 서브넷만 VPN으로 보내므로 일반 브라우징은 로컬 링크를 지나며 게이트웨이를 전혀 건드리지 않습니다. 전체 터널 프로필은 터널에 기본 경로를 설치하므로 게이트웨이가 전체 경로를 책임집니다. 둘 다 정당한 설계이며, 이를 혼동하면 문제가 없는 곳에서 장애 보고서가 생깁니다. 무엇이든 테스트하기 전에 클라이언트가 알리는 경로를 읽으십시오 — 라우팅 테이블은 티켓이 보통 잘못 세우는 질문에 답해 주기 때문입니다.

클라이언트가 설치하는 것이 항상 프로필이 의도한 것은 아닙니다. 밀어 넣은 경로는 메트릭이 더 낮은 로컬 경로에 의해 무시될 수 있고, 기본 경로를 추가하면서 LAN 경로를 유지하는 클라이언트는 그 서브넷에 대해 분할 터널처럼 동작합니다.

하나의 공개 요청을 추적하십시오

목적지 하나를 고르고 클라이언트에서 바깥으로 추적하십시오. 클라이언트에서 패킷이 실제로 터널을 선택하는지, 어떤 로컬 주소를 출발지로 쓰는지 확인하십시오. 그다음 게이트웨이에서 패킷이 도착하는지, 공용 인터페이스로 나가는지 확인하십시오. 이 답들 각각이 원인의 한 범주를 통째로 없앱니다.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

게이트웨이가 패킷을 한 번도 보지 못한다면 클라이언트 경로나 터널 선택이 잘못된 것입니다. 도착했는데 나가지 않는다면 문제는 게이트웨이에 있으며, 남은 세 가지 점검이 적용됩니다.

전달, 경로, 변환을 확인하십시오

strongSwan과 함께 제공되는 전달 지침은 모든 터널 유형의 게이트웨이에 적용됩니다: 커널이 인터페이스 사이에서 패킷을 옮기도록 허용되어야 하고, 쓸 수 있는 경로가 인터넷을 향해야 합니다. 그다음 방화벽 정책이 트래픽을 허용해야 하고, 출발지 주소는 공용 측이 응답할 수 있는 주소여야 합니다. 변경 없이 인터넷으로 전달된 사설 클라이언트 주소는 결코 응답을 받지 못합니다.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

출발지 변환이 흔히 빠진 부분입니다. 이것이 있으면 게이트웨이가 클라이언트 출발지를 자신의 공용 주소로 다시 쓰고 흐름을 추적하며, 없으면 응답이 갈 곳이 없습니다. 클라우드 플랫폼은 두 번째 경계를 더합니다: 인스턴스의 라우팅 테이블이나 보안 그룹이 게스트 방화벽이 허용한 트래픽을 버릴 수 있습니다. 그 경계는 게스트 시스템이 안쪽에서 올바르게 설정된 것처럼 보이기 때문에 놓치기 쉽습니다.

비대칭 구성에서 역경로 필터링도 유효한 패킷을 버릴 수 있습니다. 그 규칙의 카운터를 읽으십시오 — 괜찮다고 가정하지 말고, 공용 인터페이스의 엄격한 설정은 라우팅 테이블이 예측한 것과 다른 경로로 들어오는 트래픽을 거부합니다.

응답 경로와 리졸버는 서로 다른 답

요청뿐 아니라 응답도 지켜보십시오. 요청이 변환되어 나가고 응답이 변환된 흐름으로 돌아온다면, 애플리케이션이 아직 실패하더라도 전달은 작동하며 다음 조사는 애플리케이션이나 DNS의 몫입니다.

HTTP 오류를 반환하는 사이트는 인터넷 전달이 작동한다는 증거입니다. 주소로 접근은 되는데 이름이 해석되지 않는다면 리졸버 문제이며 NAT 문제가 아닙니다.

정확한 수정 후 클라이언트와 의도적으로 제한한 사설 리소스를 다시 테스트하십시오. 인터넷 접근을 허용하더라도 게이트웨이에 연결된 모든 네트워크로 접근을 조용히 넓혀서는 안 됩니다.