VPN шлюзу IP өткөрүү керек: эмнени текшерүү керек

Кардарыңыз шлюздун дарегине ping жибере алат, ал эми анын артындагы бардык ресурстар жеткиликсиз бойдон калат. Бул эки байкоо сиз менен сүйлөшүп жаткан хостту жана маршруттоону аткарбаган маршрутизаторду сүрөттөйт, бул бир машинадагы ар башка ролдор. Өткөрүү — алардын ортосундагы которуштургуч.

Эки роль тең көз каранды эмес, эки дарек үй-бүлөсү да ошондой.

Өз дарегине жооп берүү эч нерсени далилдебейт

Пакет шлюздун өзүнө адрестелгенде, жергиликтүү стек аны керектейт жана өткөрүү тууралуу чечим кабыл алынбайт. Ошондуктан туннелдин дарегине же башкаруу интерфейсине ийгиликтүү ping демондун тирүү экенин жана туннелдин көтөрүлгөнүн айтат, бирок кутунун артындагы тармакка арналган трафик жөнүндө эч нерсе айтпайт. Ядро өзүнө адрестелбеген пакеттер үчүн гана өткөрүү жолун карайт.

Талапты жөндөө катары эмес, роль катары окуңуз: бул хост пакеттерди эки интерфейстин ортосунда жылдырышы керек. Алыскы тармакка гана жетүү керек болгон ноутбук бул ролду эч качан албайт, ал эми сайт-сайт акыркы чекити дайыма алат. Талапты ушундай окуу иштеп жаткан кардар конфигурациясы шлюзга көчүрүлгөндө эмне үчүн ийгиликсиз болорун түшүндүрөт.

Ошол эле сүйлөм өткөрүү чечиминин алдындагы брандмауэрге да тиешелүү, анын эмнени өткөрүүгө болорун аныктаган өз саясаты бар.

Ар бир дарек үй-бүлөсүн өзүнчө текшериңиз

IPv4 өткөрүү — бир которуштургуч, ал эми IPv6 өткөрүү — ар бир интерфейс үчүн өз жүрүм-туруму бар экинчиси. Биринчисин күйгүзүү экинчиси жөнүндө эч нерсе айтпайт, ал эми кош стектүү кардар тармактын жарымына жетип, калганы караңгы бойдон калышы мүмкүн. Ошондуктан ар башка үй-бүлөлөрдүн эки кардары бир шлюз жөнүндө макул болбой калышы мүмкүн. Кайсы гана жөндөөнү өзгөртүүдөн мурун ийгиликсиз болгон кардар кайсы үй-бүлөнү колдонгонун сураңыз. Маршруттоо долбоору туура эмес деп жыйынтык чыгарардан мурун экөөнү тең ырастаңыз.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Көптөгөн дистрибутивдерде иштөө учурунда окуган маанини ал жерге кызмат же конфигурация файлы койгон, ошондуктан бир жолку буйрук менен жасалган өзгөртүү кайра жүктөөдө жоголушу мүмкүн. Иштөө маанисин өзгөртүүдөн мурун бул жөндөөгө ээ файлды табыңыз.

Өткөрүү — төрт талаптын бири

Иштеп жаткан өткөрүлгөн агымга бир убакта төрт нерсе керек: кардар багыт туннелдин артында экенин билиши керек, шлюздун алдыга маршруту болушу керек, жооптордун кайтуу жолу болушу керек жана брандмауэр трафикке уруксат бериши керек. Булак дарегин которуу бул долбоорго эреже катары эмес, вариант катары кирет, анткени симметриялуу жолдору бар жеке маршрутталган тармакка ал керек эмес, ал эми асимметриялууга адатта керек. Төртөөнүн ар бири өзүнчө ийгиликсиз болот, ошондуктан бирөөнү оңдоо симптомду сейрек жылдырат. Кайсынысын болбосун өзгөртүүдөн мурун төртөөнү тең жазып коюңуз.

Булут платформалары бешинчи ойду кошот. Айрымдары инстанцияларда булак жана багыт текшерүүсүн талап кылат, бул конок ядросу кандай конфигурацияланганына карабастан өткөрүлгөн пакеттерди таштайт. Ал жерде ыйгарым укук платформанын өз тармактык документтеринде, VM ичиндеги sysctl чыгышында эмес.

Шлюзден эмес, кардардан сынаңыз

Шлюздун өз кабыгында жүргүзүлгөн сынак сиз жаңы эле күйгүзгөн өткөрүү жолунун эч бир бөлүгүнөн өтпөйт. Трафикти көйгөйү бар кардардан жаратыңыз жана анын шлюздун өзүнө эмес, шлюздун артындагы бир нерсеге жетерин ырастаңыз. Бул сиз өзгөрткөн ролду машыктырган жалгыз сынак.

Угуучунун эрежелерин жана өткөрүү эрежелерин ойуңузда жана өзгөртүүлөр жазуусунда өзүнчө кармаңыз. VPN портун ачуу кардарларды кызматка киргизет; ал аларга анын артындагы тармакта эч нерсе бербейт жана жылдар бою өскөн брандмауэр тизмесинде экөө тең бирдей көрүнөт.

Пакеттер келип, анан кызмат колдонуучуну четке какса, сиз тармактан ашып кеттиңиз. Өткөрүү саясатын кайра кеңейтүүнүн ордуна колдонмо авторизациясы менен улантыңыз.