Bridged OpenVPN-Clienten ouni Internet? Kontrolléiert d’NAT-Reeg

Den bridged Server leeft, d’masquerade-Reeg ass do, an den Browser um Client dréit nach ëmmer. Alles gesäit aus wéi wann et misst funktionéieren, an dowéinst geet déi éischt Stonn an d’Kontroll vum Tunnel an den Zougangsdaten. Duerno liest du den Zähler op der NAT-Reeg a fënns eng Null, déi sech net geréckelt huet. Eng Reeg, déi ni e Pak gezielt huet, huet ni mat engem iwwereneegepasst, an op engem bridged Server ass d’Ursaach strukturell: de Client-Verkehr geet duerch den virtuelle tap-Apparat eraus, während d’Reeg déi physesch Kaart nennt, déi s du aus enger eelerer Uleitung kopéiert hues.

Den Zähler ass de Beweis, net d’Linn an der Tabell

Reegelen, déi et gëtt, a Reegelen, déi passen, sinn zwee verschidde Saachen, an den Zähler trennt se. Lëscht d’NAT-Tabell mat ausféierlechen Zähleren op a liest d’Zuelen nieft all Reeg, ier s du eppes änderst. En Zähler, dee bei null steet, während de Verkehr fléisst, bedeit, datt d’Reeg iwwersprongen ass, sou vernünfteg wéi hir Adressen och ausgesinn. En Zähler, deen eropgeet, während d’Verbindung nach ëmmer feelt, schéckt dech soss enger Plaz: d’Weiderleitung, den Zeréckwee oder dat wäit Enn.

iptables -t nat -L POSTROUTING -v -n

Lies fir d’éischt den Zähler nieft der Interface-Passung. Wann d’Quellberäich richteg ass an d’Ausgangssäit falsch, ass d’Korrektur ee Wuert an der Reeg an net eng komplett nei Reeg.

Fann den Numm, deen de Kernel tatsächlech festhält

Identifizéier den Tunnelapparat mam Numm, ier s du d’Reeg schreifs, mat der Interface-Lëscht an net mat dem Gediechtnes. Bei enger bridged OpenVPN Installatioun ass den Apparat meeschtens en tap-Interface, deen de Server ugeluecht huet, an säin Numm ass Deel vun denger lokaler Konfiguratioun, keng universell Konstant. Bestätegt, datt en do ass, während den Tunnel leeft, well en Apparat, deen eréischt no der Verbindung vun engem Client erschéngt, eng fréier Tester als Regelproblem ausgesi léisst.

ip -brief link

Schreif den Numm op. All spéider Kommando an dëser Diagnos bezitt sech dorobber, an en Tippfeeler hei gëtt genau dee selwechten Nullzähler wéi dee urspréngleche Feeler.

Schreif d’Reeg op den Tunnelapparat ëm

Riicht d’Reeg op den Tunnelapparat a behält de Client-Beräich als hir Passungsbedingung, soudatt se den Tunnelverkehr deckt an d’eegen Verbindunge vum Host a Rou léisst. Ersetz duerch däin eegene Beräich an Apparatnumm, well déi zwou Beispiller ënnendrënner Beispiller sinn an keng dovun tëschent Installatiounen iwwerdroe ka ginn.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Kontrolléier duerno déi aner zwou Bedingungen, déi dee selwechte Symptom verstoppt. Kontrolléier, ob d’Weiderleitung ageschalt ass, a wann net, schalt se an der Konfiguratioun vun der Distributioun selwer an an net mat engem echo, deen beim Neistart verschwënnt. Lies och d’Zähleren vun der forward-Ketten, a wann se den Tunnelverkehr fale léisst, erlabe genee deen Interface a loosst d’Politik vun der Kette onberéiert.

D’forward-Kette mat Zähleren ze liese kascht ee Kommando an schléisst d’Halschent vun de verbleiwen Méiglechkeeten aus, ier s du eng aner Reeg beréiers.

Firwat d’physesch Kaart ni passt

Eng Bréck ass e Software-Switch, dee vum tap-Apparat an engem physeschen Interface zesummegesat ass. De Frame vum Client geet an dee Switch eran an als Member vun der Bréck eraus an d’physescht Netz, net als Pak op der Kaart. Dofir schreift de Kernel de Pak der Bréck an hirem Port zou, an dowéinst erschéngt d’Kaart, un déi s du geduecht hues, ni an der Passung. Um physeschen Interface ass näischt futti; en ass einfach net den Apparat, deen de Kernel deem Pak zousteht.

Dat nächst Problem, op dat d’Leit stoussen, kënnt aus der selwechter Struktur: d’Framefilterung op enger Bréck ass eng separat Ariichtung vun der IP-Filterung. Wann d’Ufuerderung eng Restriktioun op Frameniveau ass, gehéiert se zur Bréckefilterung, net zu enger Reeg vun der IP-Tabell.

Beweist et vum Ufank bis zum Enn a maacht et duerno dauerhaft

Start een eenzegen Client a ping eppes am LAN vum Server; dee Wee übt d’Weiderleitung ouni eng Iwwersetzung. Frot duerno eppes Ëffentleches, soudatt d’masquerade-Reeg misst benotzt ginn, a lies den Zähler nach eng Kéier: en dierft sech fir dësen Test réckelen an net fir dee virdrun. Eng Opnam um Tunnelapparat weist souwuel wou de Frame erschéngt wéi och wéi eng Adress en dréit.

Leschte Schrëtt: setz d’Reegelen, déi funktionéieren, an d’Konfiguratioun, déi e Neistart liest, a notéier den Apparatnumm, deen d’Bréck vun dësem Host tatsächlech benotzt. Alles wat mat der Hand getippt gëtt, ass no engem Neistart fort, an dee selwechte Feeler kënnt zeréck ouni eppes, wat en erkläert.

Wann den Zähler sech och nom Ëmschreiwen net réckelt, vergläich d’Quellberäich an der Reeg mat der Adress, déi de Client tatsächlech kritt huet, well e bridged Server Adressen aus engem Beräich ka verdeelen, deen s du net gemengt hues.