VPN портун ачуу клиенттерге LANга жетүүгө мүмкүндүк бербейт

Туннель көтөрүлөт, клиент аутентификациядан өтөт, бирок шлюздун артындагы LAN көрүнбөй калат. Муну оңдошу керек болгон эреже VPN портуна уруксат берет жана жазылгандай так иштейт, анткени ал эреже шлюздун өзүнө адресделген пакеттерди жөнгө салат. Шлюздун артындагы хостко бараткан клиент трафигинин башка максаты жана башка тизмеги бар. Ийгиликтүү кирүү ядронун кайсы тизмекти караарын өзгөртпөйт.

Эки тизмек, эки башка максат

Пакеттин тагдырын анын кайда бараары чечет, кантип келгени эмес. Шлюздөгү дарекке бараткан трафик жергиликтүү жеткирилет жана кирүү эрежелери менен бааланат. Шлюз андан ары жөнөткөн трафик өткөрүү эрежелери менен бааланат. Бир эле туннель интерфейси эки түрдөгү пакетти тең чыгара алат, ошондуктан бир эреже эки ишти тең камтый албайт.

Бүт уламыш бир сүйлөмдө: угуучуга уруксат берүү анын артындагы тармакка уруксат берүү жөнүндө эч нерсе айтпайт. Бул өзүнчө далилдери бар эки өзүнчө чечим, ал эми экөөндөгү интерфейс аты аларды бириктирбейт.

Угуучу эрежеси чындыгында эмнеге уруксат берет

Угуучунун пакеттери VPN процессинде бүтөт, дал ошол туннелди курууга мүмкүндүк берет. Шлюздун башкаруу баракчасы жана жергиликтүү диагностикалык жооп да хосттун өзүнүн кирүү жолун колдонот, ошондуктан шлюзге текшерүү ийгиликтүү болуп, анын артындагынын баары ийгиликсиз болот. Эки жыйынтык тең туура жана экөө тең LAN жөнүндө эмес.

Процесс клиенттин трафигин башка максат үчүн декапсуляциялаганда, пакет өткөрүү жолуна кирип, ал жерде уруксат керек. Ийгиликтүү аутентификация клиенттин ким экенин чечет; анын кайда бара аларын чечпейт. Эки суроонун ээси, журналы жана ката билдирүүсү башка.

Клиенттен текшериңиз, эч качан шлюзден эмес

Шлюзде жасалган тест хосттун өзүнүн чыгуу жолу менен жүрөт жана өткөрүү жолу жабык болсо да өтүшү мүмкүн. Тестти клиенттен баштаңыз жана агымдын эки учуна көз салыңыз.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Эгер суроо tun0-де көрүнүп, максатка эч нерсе жетпесе, пакет келгенден кийин ташталат, бул өткөрүү эрежелерине же максаттын өзүнүн фильтрине ишарат кылат. Эгер tun0-де такыр эч нерсе көрүнбөсө, клиент аны туннелге да жөнөтпөйт, ал эми көйгөй шлюздун саясатында эмес, клиенттин маршруттоосунда. Муну туура чыгып, эч нерсе кайтарбаган суроо менен салыштырыңыз, бул кайтуу жолунун учуру.

Өткөрүүгө бир эмес, үч нерсе керек

Ядродогу өткөрүү күйгүзүлүшү керек, фильтр эрежеси агымды кабыл алышы керек, ал эми максатка жетүү жана жооптун кайтуу жолу болушу керек. Үчөөнүн бири жок болсо, клиент үчүн тынчтык бирдей.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Үч чыгышты чогуу окуңуз. Биринчисиндеги нөл калган экөөнү маанисиз кылат, ал эми экинчисиндеги демейки таштоо саясаты клиенттин пакеттерин таштайт, шлюздун өз трафиги ишин улантат. Үчүнчү чыгыш угуучу эрежеси эч качан көйгөй болбогонун көрсөтөт.

Документацияда эки эреже топтомун өзүнчө кармаңыз

Угуучу эрежесин жана өткөрүлүүчү кызматтын эрежесин өзүнчө саптарга, өзүнчө ээлер жана себептер менен жазыңыз. VPN порту өзгөргөндө же жаңы кызмат жарыяланганда, бул бөлүү бир өзгөрүүнүн экинчисин үнсүз кеңейтүүсүнө жол бербейт.

Ар бир аутентификацияланган өнөктөштү ишенимдүү LAN мүчөсү деп эсептөөнүн ордуна, керектүү клиент диапазондору жана кызматтар үчүн тар эрежелерди колдонуңуз. StrongSwanдын өткөрүү боюнча жазуулары ошол эле чектин кайтуу маршруту жана которуу жагын сүрөттөйт, бул дагы үчүнчү чечим.

Акырында, колдонуучу четке кагылганда катмарларды түз кармаңыз. Эгер суроо хостко жетип, колдонмо эсепти четке какса, ошол катмарда колдонмонун уруксатын оңдоңуз; өткөрүүнү кеңейтүү файл бөлүшүү күбөлүгүн бере албайт жана ийгиликтүү туташкан бардык башкалар үчүн жетүүнү кеңейтет.