LAN-Kliente ignoréieren d'VPN vum Router, bis Policy-Routing aktivéiert gëtt

De Router erreecht d'Internet duerch säin Tunnel, wärend e Laptop hannendrun nach ëmmer d'ISP-Adress mellt. Accept-Reegelen ze addéieren hëlleft net, an dëse Feeler ass lehrräich: Filtering äntwert, ob e Paket däerf duerch, net wou en hien geet. D'Interface-Wiel ass schonn duerch eng Routing-Sich gemaach ginn, déi näischt iwwer deng Client-Lëscht weess. Fixéier d'Sich, an d'Firewall ass net méi de Verdächtegen.

Eng Filter-Reegel kann keng Interface wielen

De Paketfloss op engem Linux-Router mécht als éischt d'Routing-Entscheedung an duerno de Forward-Hook. Wann eng Reegel op den ausgehende Tunnel-Apparat passt, huet de Kernel schonn entscheet, datt den Tunnel de Wee eraus ass. Wann d'Haapttabell nach ëmmer déi WAN-Standardroute bevorzugt, ass de Paket op dem Wee zum ISP an d'Accept-Reegel, déi s du just geschriwwen hues, gesäit en ni. Dës eenzeg Uerdnungs-Tatsaach erkläert, firwat eng Säit nei Firewall-Reegelen näischt ännert.

D'Beispill hei drënner benotzt e LAN vun 192.168.8.0/24 op br-lan, en Tunnel-Apparat tun0 an eng eenzeg Set-Top-Box op 192.168.8.23, déi den Tunnel soll huelen.

Lies d'Sich, ier s d'Reegele beaarbeschts

Fro de Kernel, eng Route am Numm vun deem Client opzeléisen. D'Äntwert enthält den ausgehenden Apparat an d'Quelladress, déi gewielt géif ginn, an dat ass alles, wat s brauchs fir d'Diagnos ze bestätegen. Wann d'Äntwert den WAN-Apparat nennt, hat de Paket ni eng Chance, deng Reegel z'erreechen.

ip -4 route get 198.51.100.7 from 192.168.8.23

Widderhuel d'Ufro fir e Client, deen op dem normale Wee soll bleiwen. Wann béid Äntwerten deeselwechten Apparat nennen, ass nach keng Quell-baséiert Policy am Spill, an de Fix gehéiert an d'Routing an net an d'Filtering.

Verbann eng Tabell mat de Clienten, déi s wëlls ofdecken

Policy-Routing setzt eng Reegele-Sich virun d'Haapttabell. Bau eng Tabell, deenen hir Standardroute den Tunnel ass, a verbann dës Tabell dann mat engem Selekter: eng Input-Interface, eng Quelladress oder eng Firewall-Mark. Prioritéite bestëmmen d'Reiefolleg, an d'Haapttabell steet wäit ënnen an der Lëscht op 32766, also gëtt eng Reegel mat enger niddereger Nummer als éischt consultéiert. Interface-Selektere decke jiddwer Client op der Bréck of; Adress-Selektere decken eng Maschinn of.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Firmware-Interfacen weisen meeschtens déiselwecht Objeten wéi eng Säit fir Policy-Routing oder VPN-Policy. Eng Apparate-Lëscht do ass méi einfach ze ënnerhalen wéi handgeschriwwen Reegelelen a mécht meeschtens Upgrades mat, déi d'Reegele-Syntax änneren.

Wiel de Selekter bewosst. Eng Interface-Reegel ass kuerz a zukunftssécher, awer si fänkt och dem Router säin eegene Management-Traffic, deen op där Bréck ukënnt. Eng Quell-Reegel ass exakt a brauch eng Beaarbechtung, ëmmer wann d'Apparate-Lëscht sech ännert. Schréif d'Wiel op, well déi nächst Persoun, déi freet firwat ee Apparat sech anescht behëlt, se brauch.

Hal lokal Destinatiounen aus dem Tunnel

Eng nei Tabell kennt just d'Routen, déi s dra setz. De LAN-Präfix feelt, also géif den Drécker- an NAS-Traffic der Standardroute vum Tunnel follegen a verschwannen. Eng Throw-Route mécht d'Sich an dëser Tabell fäerdeg a gëtt d'Entscheedung un d'Haapttabell zréck.

ip -4 route add throw 192.168.8.0/24 table 200

Wann s déi Route weglosst, briechen déi lokal Deelungen, an d'Managements-Sessioun vum Router selwer kann verschwannen, wann de Selekter méi breet ass wéi gemengt. Dann entscheed d'Quellfro: Tunnelpakete mat nach ëmmer LAN-Adressen brauchen eng Géigesäit, déi en Zeréckwee kennt, wärend Masquerading um Tunnel dës Fuerderung ewech hëlt an och d'Clientidentitéit ewech hëlt, déi déi aner Säit gesinn hätt.

Reegelelen a Routen, déi zur Lafzäit dobäi kommen, sinn no engem Neistart oder engem Firmware-Update fort. Setz se an den Neistart-Mechanismus vum Router, start dee Kéier nei a test dann nach emol vum Client: seng ëffentlech Adress, en zweeten Client, deen op der WAN bleiwe soll, an d'Tunnel-Zähler wärend enger neier Verbindung.