Туннель көтөрүлдү, интернет жок: кайра багыттоо кайда токтойт

Кардар туташат, туннель шлюзга пинг жеткирет, ал эми анын артында эч нерсе жооп бербейт. Бул абал дайыма корголгон тармактарга гана кирүү үчүн арналган шлюз үчүн кадимки, ал эми толук туннель чыгымы деп жарнамаланган шлюз үчүн бузулуу. Эрежелерди өзгөртүүнүн алдында кайсы кызмат убада кылынганын ырастаңыз. Андан кийин бир коомдук суроону ал токтой турган төрт жерден көзөмөлдөңүз. Бир суроо жана бир пакет жазуусу бир барак божомолдон көп нерсени чечет.

Интернетке чыгуу башынан эле долбоор болгонбу, аны ырастаңыз

Бөлүнгөн туннель профили VPN'ге корголгон ички тармактарды гана багыттайт, ошондуктан коомдук серептөө жергиликтүү байланыш аркылуу уланат жана шлюзга эч качан тийбейт. Толук туннель профили туннелге демейки маршрут орнотот, бул шлюзду бүт жол үчүн жооптуу кылат. Экөө тең мыйзамдуу долбоор, ал эми аларды аралаштыруу бузулуу жок жерде бузулуу тууралуу отчёт жаратат. Башка нерсени сынаардан мурун кардар жарыялаган маршруттарды окуңуз, анткени маршрут таблицасы билетте адатта туура эмес коюлган суроого жооп берет.

Кардар орноткон нерсе профиль ниет кылган нерсе боло бербейт. Түртүлгөн маршрутты төмөнүрөөк метрикалуу жергиликтүү маршрут басып кетиши мүмкүн, ал эми демейки маршрут кошуп, LAN маршрутун сактаган кардар ошол ички тармак үчүн бөлүнгөн туннель сыяктуу аракет кылат.

Бир коомдук суроону көзөмөлдөңүз

Бир багыттоочу жерди тандап, аны кардардан сыртка карай көзөмөлдөңүз. Кардарда пакеттин чынында туннелди тандаганын жана кайсы жергиликтүү даректи булак катары колдонгонун текшериңиз. Андан кийин шлюзду текшериңиз: пакет келеби жана коомдук интерфейстен чыгабы. Ошол жооптордун ар бири себептердин бүтүндөй категориясын жоёт.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Шлюз пакетти эч качан көрбөсө, кардар маршруту же туннель тандоо туура эмес. Пакет келип чыкпаса, маселе шлюзде, калган үч текшерүү күчүндө.

Кайра багыттоону, маршрутту жана котормону текшериңиз

strongSwan менен келген кайра багыттоо нускамасы каалаган туннель түрүнүн шлюзуна тиешелүү: ядрого пакеттерди интерфейстердин ортосунда жылдырууга уруксат берилиши керек, ал эми пайдалуу маршрут интернетке карай көрсөтүүсү керек. Андан кийин брандмауэр саясаты трафикке уруксат бериши керек, ал эми булак дареги коомдук тарап жооп бере ала турган дарек болушу керек. Интернетке өзгөртүүсүз кайра багытталган жеке кардар дареги эч качан жооп албайт.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Булак котормосу — адатта жетишпеген бөлүк. Аны менен шлюз кардардын булагын өзүнүн коомдук дарегине кайра жазат жана агымды көзөмөлдөйт; ансыз жоопко барар жер жок. Булут платформалары экинчи чекти кошот, анда инстанстын маршрут таблицасы же коопсуздук тобу конок брандмауэры уруксат кылган трафикти таштай алат. Бул чекти өткөрүп жиберүү оңой, анткени конок системасы ичинен туура конфигурацияланган көрүнөт.

Асимметриялык жөндөөдөгү кайтарым жол чыпкалоо да жарактуу пакеттерди таштай алат. Ошол эреженин эсептегичин окуңуз, баары жакшы деп божомолдобоңуз, анткени коомдук интерфейстеги катуу параметр маршрут таблицасы болжолдогондон башка жол менен келген трафикти четке кагат.

Жооп жолу жана чечүүчү эки ар башка жооп

Бир гана суроону эмес, жоопту да байкаңыз. Суроо которулуп чыгып, жооп которулган агымга кайтса, колдонмо дагы деле ийгиликсиз болсо да кайра багыттоо иштейт, ал эми кийинки иликтөө колдонмого же DNS'ке таандык.

HTTP катасын кайтарган сайт интернетке кайра багыттоонун иштеп жатканынын далили. Дарек аркылуу кирүү иштеп турганда чечилбеген ат — чечүүчү маселеси, NAT маселеси эмес.

Так оңдоодон кийин кардарды жана атайын чектелген каалаган жеке ресурсту кайра текшериңиз. Интернетке кирүү берүү шлюзга туташкан ар бир тармакка кирүүнү үнсүз кеңейтпеши керек.