Den VPN-Port opmaachen erméiglecht de Cliente keen Zougang zum LAN

Den Tunnel kënnt erop, de Client authentifizéiert sech, awer d LAN hannert dem Gateway bleift onsichtbar. D Regel, déi dat sollte behiewen, erlaabt de VPN-Port an funktionéiert genee esou wéi geschriwwen, well déi Regel Pakete reegelt, déi un de Gateway selwer adresséiert sinn. De Client-Trafic zu engem Host hannert dem Gateway huet en anert Zil an eng aner Kette. En erfollegräiche Login ännert net, wéi eng vun den zwou Ketten de Kernel kuckt.

Zwou Ketten, zwee verschidde Ziler

D Schicksal vun engem Paket gëtt dovu bestëmmt, wou et higeet, net wéi et ukomm ass. Trafic op eng Adress um Gateway gëtt lokal geliwwert a géint Input-Regele bewäert. Trafic, deen de Gateway weiderleet, gëtt géint Weiderleedungsregele bewäert. Déi selwecht Tunnel-Schnittstell kann déi zwou Zorte Pakete produzéieren, dofir kann eng Regel net déi zwou Aufgabe decken.

De ganze Mythos an engem Saz: de Listener erlaaben seet näischt doriwwer, d Netz hannendrun ze erlaaben. Et sinn zwou getrennte Entscheidungen mat getrennten Beweiser, an en Interface-Numm op béiden eenzegt se net.

Wat d Listener-Regel tatsächlech erlaabt

Listener-Pakete fänken am VPN-Prozess un a schléissen do of, an dat ass et, wat den Tunnel iwwerhaapt méiglech mécht. D Verwaltungssäit vum Gateway an eng lokal diagnostesch Äntwert benotzen och den eegene Input-Wee vum Host, dofir geléngt en Test zum Gateway, während alles hannendrun feelt. Béid Resultater sinn richteg an keent geet ëm d LAN.

Wann de Prozess de Client-Trafic fir en anert Zil decapsuléiert, trëtt de Paket an de Weiderleedungswee an do brauch en eng Erlaabnis. Eng erfollegräich Authentifikatioun entscheet, wien de Client ass; se entscheet net, wou de Client dierf higoen. Déi zwou Froen hunn aner Besëtzer, aner Loggen an aner Fehlermeldungen.

Test vun engem Client, ni vum Gateway

En Test, deen um Gateway gemaach gëtt, follegt dem eegene Ausgangswee vum Host a kann duerchgoen, während de weidergeleeten Wee zou ass. Fänkt den Test vum Client un a kuckt op béid Enner vum Floss.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Wann d Ufro op tun0 erschéngt an näischt d Zil erreecht, gëtt de Paket no der Ukomm verhaapt, wat op Weiderleedungsregele oder op d eege Filterung vum Zil hiweist. Wann op tun0 iwwerhaapt näischt erschéngt, schéckt de Client en och net an den Tunnel, an de Problem ass Routing um Client an net Politik um Gateway. Vergläicht dat mat enger Ufro, déi richteg erausgeet an näischt zréckbréngt, wat de Fall vum Réckwee ass.

Weiderleedung brauch dräi Saachen, net eng

D Weiderleedung am Kernel muss ageschalt sinn, eng Filterregel muss de Floss akzeptéieren, an d Zil muss erreechbar sinn mat engem Wee fir d Äntwert zréck. Wann eng vun den dräi feelt, ass d Stille aus der Siicht vum Client déi selwecht.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Liest déi dräi Ausgaben zesummen. Eng Null an der éischter mécht déi aner zwou onwichteg, an eng Standard-Verwerfungs-Politik an der zweeter verhaapt d Pakete vum Client, während den eegene Trafic vum Gateway weiderleeft. Déi drëtt Ausgab weist, firwat d Listener-Regel ni de Problem war.

Halt déi zwou Regele-Sets an der Dokumentatioun getrennt

Schreift d Listener-Regel an d Regel fir de weidergeleete Service op getrennte Linnen, mat getrennte Besëtzer a Grënn. Wann de VPN-Port sech ännert oder en neie Service publizéiert gëtt, verhënnert déi Trennung, datt eng Ännerung déi aner stëll ausweidert.

Amplaz all authentifizéierte Peer als vertrauenswürdegt LAN-Member ze behandelen, benotzt eng Regelen fir déi Client-Beräicher a Servicer, déi se brauchen. D Notizen iwwer d Weiderleedung vu StrongSwan beschreiwen d Réckwee- an d Iwwersetzungssäit vun der selwechter Grenz, wat nach eng drëtt Entscheidung ass.

Zum Schluss, halt d Schichten riicht, wann en Benotzer ofgeleent gëtt. Wann d Ufro den Host erreecht an d Applikatioun de Kont ofleet, reparéiert d Erlaabnis vun der Applikatioun op där Schicht; d Weiderleedung ausweiden kann keng Umeldungsdaten fir Dateifreigabe liwweren an et wäert den Zougang fir all déi aner ausweiden, déi erfollegräich verbannen.