OpenVPN аркылуу LAN'га кирүү бузулдубу? Аймактарды, маршруттарды жана кайтуу жолун текшериңиз

Туннель ийгиликтүү туташууну билдирет, маршрутизатордун өз баракчасы жүктөлөт, ал эми анын артындагы машинага дискти туташтыруу дагы эле убакыт бүтүп бүтпөйт. Бул айкалышта карама-каршылык жок: маршрутизатор өзү катары жооп берет, ал эми анын артындагы бир нерсеге жетүү башка жерде кабыл алынган башка чечим. Төмөнкү текшерүүлөрдү ирети менен аткарыңыз жана биринчи ийгиликсиздикте токтоңуз, анткени ар бири мурункусуна таянат. Төртөө тең өтсө, кемчилик туннелдин ичинде эмес, үстүндө.

LAN тарапка бара жаткан пакетти кайсы чыпка көрөт

Маршрутизаторго адрестелген пакет жергиликтүү керектелет; анын артындагы хостко адрестелген пакетти өткөрүү керек, жана firewalls бул эки учурду өз-өзүнчө баалайт. Ошондуктан маршрутизаторго жетүү уруксаты андан өтүү уруксаты жөнүндө эч нерсе айтпайды. Өз эреже топтомун жашырган firmware да экөөнү тең ишке ашырат, адатта LAN, интернет же экөөнү сунуштаган тандоочу катары. Эгер тандоочу LANды калтырып кетсе, кийинки эч бир текшерүү мааниге ээ болбойт.

OpenWrt бул бөлүнүүнү текшерүүгө мүмкүндүк берет, жана айырма бир жолу окууга татыктуу. Туннелди бүтүргөн аймакка LAN аймагына багытталган өткөрүү эрежеси керек, ал эми кирүү эрежеси маршрутизатордун өзүндөгү кызматтарды гана жөнгө салат. Иштеген башкаруу баракчасынын жанында өлүк LAN болушу ошол жетишпеген өткөрүү эрежесинин кадимки натыйжасы.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Туннелди алып жүргөн аймактын өткөрүү максатын караңыз: accept — тепкичке керектүүсү, ал эми reject төмөнкү ар бир убакыт бүтүүсүн түшүндүрөт. Эки кошуна параметр бирдей белгини жаратат, ошондуктан ушул жерде турганыңызда аларды да чыгарып салыңыз. Зымсыз обочолонуу зымдуу хостторду зымсыз клиенттерден жашырат, ал эми бош LAN хостторун офлайн деп эсептеген маршрутизатор өткөрүү иштегенден кийин да жоопторду таштай алады.

Эмне үчүн бөлүнгөн туннелге түртүлгөн префикс керек

Бардык трафикти туннель аркылуу жиберген клиентте LAN префикси демейки маршруту аркылуу мурунтан бар, ошондуктан кошууга эч нерсе жок. Бөлүнгөн туннель префиксти ачык көрсөтүүнү талап кылган учур, анткени конфигурацияда башка эч нерсе аны эскербейт. Директиваны сервер конфигурациясына кошуп, кызматты кайра жүктөңүз.

push "route 192.168.50.0 255.255.255.0"

Курамында route-nopull бар профилдер түртүлгөн маршруттарды этибарга албайт, ошондуктан ошол префикс клиент файлына тиешелүү. Кандай болбосун, жазуу келгенин ырастаңыз, божомолдобоңуз, анткени үнсүз алмаштыруу firewalls көйгөйүнө так окшош.

ip route show | grep 192.168.50

Сайт-сайт өнөктөшү түртүүдөн көбүрөөк талап кылат. Сервер ошол өнөктөштүн артында кайсы префикстер турганын билүүгө тийиш, муну анын client-config-dir файлындагы iroute сабы аткарат, жана анын өз таблицасына туннелге кирген дал келүүчү маршрут керек.

Жоопко жетүүгө боло турган дарек керек

Сурамды өткөрүү алмашуунун жарымы гана, анткени LAN хост туннелдин көлмөсүндөгү дарекке жооп бериши керек. Кичине маршрутизаторлор муну адатта булакты туннель аймагында которуу аркылуу чечишет, ошондуктан жооп маршрутизаторго адрестелет жана башка жерде конфигурация талап кылынбайт. Ошол которууну алып салсаңыз, хостко көлмөгө өз маршруту керек болот, аны маршрутизатор анын демейки шлюзу болгондо акысыз алат. Кол менен коюлган дареги жана башка шлюзу бар хост ошол шлюз аркылуу жооп берет, ал эми клиент сессиянын ачылып, анан токтоп калганын көрөт.

tcpdump -ni tun0 host 192.168.50.20

Клиент сурамын кайталап жатканда муну маршрутизатордо иштетиңиз, жана сурамдын өзүн эмес, жооптун барар жерин окуңуз. Көлмөгө адрестелген жооп кайтуу жолу иштеп жатканын жана кемчиликтин тереңирээк экенин билдирет. Жооп такыр болбосо, хост пакетти эч качан кабыл алган эмес, бул сизди эреже топтомуна кайтарат.

Туура жерде бүткөн тепкич

Төрт текшерүү катмарды аныктайт, жана ар бири өкүм эмес, бир буйрук. Аларды ирети менен иштетип, биринчи ийгиликсиздикте токтоңуз. Ирет буйруктардан маанилүүрөөк, анткени кийинки өткөн кадам мурункунун эмне үчүн ийгиликсиз болгонун жашырат.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Аталыштар тепкичтин аягына таандык, эч качан башына эмес. 192.168.50.20 катары жооп берген, бирок nas.local катары бербеген бөлүшүү аттарды чечүүгө же издөө уландысына көрсөтөт, ал эми firewalls түзөтүүлөрү экөөнү тең өзгөртө албайт.

Биринчи ийгиликсиз кадамды жазып алыңыз, анан кызмат портторуна өз кезегин бериңиз, анткени угуучу жана хост уруксаты өзүнчө талаптар. Файл бөлүшүү, алыскы иш тактасы жана камера агымдары экөөнү тең талап кылат, ал эми LAN кошумча тармагына ишенген, бирок туннель көлмөсүнө ишенбеген хост firewalls ping дагы өтүп жатканда клиентти таштайт. Бардык текшерүүлөр өтсө да колдонмо иштебесе, кемчилик туннелдин үстүндө: бир интерфейске байланган кызмат же клиентте конфигурацияланган прокси.