Маршрутталган VPN кардары серверге жетет, бирок LAN хостторуна жетпейт

Туннель көтөрүлөт, кардар VPN серверине пинг жөнөтөт, ал эми бир кадам ары жайгашкан машинадагы жалпыланган папка эч качан жооп бербейт. Кардардын конфигурациясында муну түшүндүргөн эч нерсе жок, анткени сурам чын эле кардардан чыгып, чын эле жетти. Ийгиликсиз болгону кайтуу жолу, ал эми ийгиликсиз болгон түзмөк адатта VPN хост эмес, LAN шлюзу. Жооп пакетин көзөмөлдөө бул симптомдор классын толук түшүндүрөт.

Жоопту ээрчиңиз, сурамды эмес

VPN сервери кардардын пакетин чечип, кардардын дареги булак талаасында калган бойдон аны LANга өткөрүп берет. Багытталган хост ошол дарекке жооп берет, эми анын өз маршрут таблицасы баарын чечет. Анын демейки шлюзу туннель бассейни жөнүндө эч нерсе билбейт, ошондуктан жооп интернет провайдери тарапка чыгып, ошол жолдун бир жеринде ыргытылат.

Кардарда симптом үнсүз күтүү: баш тартуу жок, кайра кошуу жок, жөн гана эч нерсе. Жалпыланган папканы кароо тыгылат, ping жооп жок деп билдирет, ал эми сервер журналдары соо көрүнөт, анткени сервер өз ишин аткарды.

Кайтаруу маршрутун хосттор караган жерге коюңуз

Ар бир LAN хост өзүнүн демейки шлюзуна кайрылат, ошондуктан туннель бассейни кайда экенин билүүгө тийиш болгон жалгыз түзмөк — шлюз. Ал жерге статикалык маршрут кошуңуз, ошондо ар бир хост тийбестен туура жолду мурастайт.

Эгер шлюз өз дарегин DHCP параметри катары тарата турган болсо, маршрутту ошол жол менен таратыңыз, жаңы машиналар аны автоматтык түрдө алышат. Болбосо маршрут бир конфигурация файлында жашайт жана кийинки кайра курууда жоголот.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Эмне үчүн булак NAT муну оңдоп жаткандай көрүнөт

Кардарлар бассейнин VPN серверинин дарегинин артына жашыруу көйгөйдү пакеттен кардардын дарегин алып салуу менен жоёт. Андан кийин жооптор туннелге кантип жетүүнү буга чейин билген серверге кайтат, жана баары иштейт. Баасы — ички хосттор кардар ким экенин көрө албайт, жана ар бир байланыш бир машинадан келгендей көрүнөт.

Бул алмашуу кээде туура, мисалы жеткирүүчүнүн түзмөгүнө статикалык маршрут берүү мүмкүн болбогондо. Эрежени учурдагы бассейнден кенен кылбаңыз, анткени /24 үчүн жазылган эреже бассейн /16га кайра номерленген күнү дал келүүнү токтотот, ал эми биринчи белги — туташып, эч жерге жетпеген жаңы кардарлар тобу.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Булут жолу үч жөндөөнү талап кылат

VPC ичинде ошол эле боштук башка формада кайтат, анткени ички тармакта кардар диапазону үчүн такыр маршрут жок. Маршрут таблицасына туннель бассейни үчүн инстанстын тармактык интерфейсине багытталган жазуу керек, ал эми интерфейсте булак жана багыт текшерүү өчүк болушу керек, ошондо платформа булагы өзүнүн дареги эмес пакеттерди кабыл алат. Коопсуздук топтору жана тармактык ACLдар да бассейнди эки багытта өткөрүшү керек.

Ар бир өткөрүп жиберүү өзүнчө жарым-жартылай ийгиликсиздик жаратат. Маршрут таблицасынын жазуусун өткөрүп жиберсеңиз, жеке инстанстар жоопту бассейнге кайтара албаган ички тармакка жооп берет. Текшерүү күйүп турса, платформа жоопту инстанс аны буга чейин жибергенден кийин ыргытат. Коопсуздук тобунун эрежеси жок болсо, сурамдын өзү эч качан жетпейт, ал эми кардар күтүүнү бир катмар мурун көрөт.

Текшерүүлөрдү ушул тартипте аткарыңыз

Маршруттоону күнөөлөөдөн мурун өткөрүүнү жана чыпкалоо саясатын ырастаңыз, анткени өткөрбөгөн хост да ошол эле үнсүз жол менен ийгиликсиз болот. Андан кийин туннелди көтөрүп жүргөн интерфейстеги иштеп жаткан кайтуу жол жөндөөсүн окуңуз, анткени катуу чыпка күтүлбөгөн багыттан келген жоопторду ыргытышы мүмкүн.

Кардар LAN хостун пингдеп турганда ошол хосттон алынган кармоо менен бүтүрүңүз. Дал келген жообу жок келген сурам кайтуу жолун далилдейт, ал эми эч качан келбеген сурам күнөөнү серверге же туннелге кайтарат.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Булак жана багыт текшерүүсү ийкемдүү тармактык интерфейс колдонмосунда документтелген. Аны туннель трафигин чындап көтөрүп жүргөн интерфейске коюңуз, ошол эле инстанска туташтырылган байланышсыз адаптерге эмес.