LAN кардарлары саясаттык маршруттоо күйгүзүлгөнгө чейин роутердин VPN'ин этибарга албайт

Роутер интернетке өз туннели аркылуу чыгат, ал эми анын артындагы ноутбук дагы эле ISP дарегин билдирип турат. Кабыл алуу эрежелерин кошуу жардам бербейт жана бул ийгиликсиздик көп нерсени айтат: фильтрлөө пакеттин өтүүсүнө уруксат барбы деп жооп берет, кайда бараарын эмес. Интерфейс тандоону кардарлардын тизмеси жөнүндө эч нерсе билбеген маршрут издөө мурун эле жасаган. Издөөнү оңдоңуз, ошондо Firewall мындан ары шектүү болбойт.

Фильтр эрежеси интерфейсти тандай албайт

Linux роутеринде пакет агымы адегенде маршрут чечимин, анан forward илгичин аткарат. Эреже чыгуучу туннель түзмөгүнө туура келгенде, ядро туннель чыгуу жолу экенин эчак чечип койгон. Эгер негизги таблица дагы эле WAN'дын демейки маршрутун тандаса, пакет ISP'ге карай баратат жана жаңы жазган кабыл алуу эрежеси аны эч качан көрбөйт. Ушул бир тартип фактысы жаңы Firewall эрежелеринин бүт барагы эмне үчүн эч нерсени өзгөртпөй турганын түшүндүрөт.

Төмөнкү мисал br-lan'дагы 192.168.8.0/24 LAN'ын, tun0 туннель түзмөгүн жана туннелди колдонушу керек болгон 192.168.8.23 дарегиндеги бир set-top box'ду колдонот.

Эрежелерди оңдоодон мурун издөөнү окуңуз

Ядродон ошол кардардын атынан маршрутты чечүүнү сураңыз. Жоопто чыгуучу түзмөк жана тандала турган булак дареги болот, ал эми диагнозду ырастоо үчүн ушунун баары жетиштүү. Эгер жооп WAN түзмөгүн атаса, пакеттин сиздин эрежеңизге жетүү мүмкүнчүлүгү болгон эмес.

ip -4 route get 198.51.100.7 from 192.168.8.23

Кадимки жолдо калышы керек болгон кардар үчүн суроону кайталаңыз. Эки жооп тең бир эле түзмөктү атаса, булак боюнча саясат али жок жана оңдоо фильтрлөөгө эмес, маршруттоого таандык.

Камтууну каалаган кардарларга таблицаны байланыштырыңыз

Саясаттык маршруттоо негизги таблицанын алдына эреже издөөсүн кошот. Демейки маршруту туннель болгон таблица түзүңүз, анан аны селекторго байланыштырыңыз: кирүү интерфейси, булак дареги же Firewall белгиси. Артыкчылыктар тартипти аныктайт жана негизги таблица тизмеде 32766'да абдан төмөн турат, ошондуктан номери кичине эреже биринчи каралат. Интерфейс селекторлору көпүрөдөгү ар бир кардарды камтыйт; дарек селекторлору бир машинаны камтыйт.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Firmware интерфейстери адатта саясаттык маршруттоо же VPN саясаты барагы менен бирдей объектилерди көрсөтөт. Ал жердеги түзмөктөр тизмеси кол менен жазылган эрежелерге караганда тейлөөгө жеңил жана эреже синтаксисин өзгөрткөн жаңыртуулардан кийин да сакталып калат.

Селекторду атайын тандаңыз. Интерфейс эрежеси кыска жана келечекке туруктуу, бирок ал көпүрөгө келген роутердин өз башкаруу трафигин да кармайт. Булак эрежеси так жана түзмөктөр тизмеси өзгөргөн сайын оңдоону талап кылат. Тандоону жазып коюңуз, анткени бир түзмөк эмне үчүн башкача жүрүм-турум көрсөтөрүн сураган кийинки адамга ал керек болот.

Жергиликтүү багыттарды туннелден тышкары кармаңыз

Жаңы таблица сиз салган маршруттарды гана билет. LAN префикси жок, ошондуктан принтер менен NAS'тын трафиги туннелдин демейки маршрутуна ээрчип жоголмок. throw маршруту бул таблицадагы издөөнү бүтүрүп, чечимди негизги таблицага кайтарат.

ip -4 route add throw 192.168.8.0/24 table 200

Ошол маршрутту өткөрүп жиберсеңиз, жергиликтүү бөлүшүүлөр бузулат, ал эми селектор ойлогондон кенен болсо, роутердин өз башкаруу сессиясы да жоголушу мүмкүн. Анан булак маселесин чечиңиз: дагы эле LAN даректерин алып жүргөн туннель пакеттерине каршы тарап кайтуу жолун билиши керек, ал эми туннелдеги masquerading бул талапты алып салат жана каршы тарап көрө турган кардардын инсандыгын да алып салат.

Иштөө учурунда кошулган эрежелер менен маршруттар кайра жүктөөдөн же firmware жаңыртуусунан кийин жоголот. Аларды роутердин ишке кирүү механизмине кошуңуз, бир жолу кайра жүктөңүз жана кардардан кайра текшериңиз: анын коомдук дареги, WAN'да калышы керек болгон экинчи кардар жана жаңы туташуу учурундагы туннель эсептегичтери.