OpenVPN-Client erreecht de Server, awer net d’LAN-Hosten: Checklist

Den Tunnel steet an de Server äntwert, awer d’LAN-Hoste bleiwen stëll. Follegt de Paket vum Client-Route bis zum Réckwee an entscheet dann tëschent NAT oder enger statescher Route.

De Client seet verbonnen, d’Tunneladress äntwert op engem Ping, an näischt am Büro-LAN äntwert. Ech gesinn dat no bal all Client-Upgrade, an den éischten Instinkt ass d’Firewall opzemaachen, wat meeschtens de falsche Schrëtt ass: den Tunnel ass an der Rei, an de Broch ass op engem vun dräi Spréng, déi de Paket muss iwwerbrécken. Gitt de Wee an der Reiefolleg, an där de Paket en hëlt, fir d’éischt de Client-Route, dann d’Weitergi vum Server, dann d’Réckrees, an Dir fannt den Eescht vum Feeler an e puer Minutten.

Éischte Schrëtt: kuckt d’Routing-Entscheedung vum Client un

Ier Dir de Server ufaasst, bewise just datt de Client de Paket an den Tunnel schéckt. Frot de Kernel wéi eng Interface hie fir ee bestëmmten LAN-Host géif benotzen, amplaz déi ganz Tabell ze liesen:

ip route get 192.168.50.10

Wann d’Äntwert Ären physeschen Adapter an de Büro-Gateway nenne kann, kann keng Ännerung op der Serversäit hëllefen. OpenVPN deelt just Routen, wann de Server se dréckt, also sicht push "route 192.168.50.0 255.255.255.0" an der Serverkonfiguratioun an verbënnt den Client duerno nei. Déi meescht Cliente setzen déi gedréckt Routen beim Verbannen ëm, net wann Dir de Profil nei lued.

Op Windows huet déi selwecht Fro en anere Kommando. Find-NetRoute -RemoteIPAddress 192.168.50.10 dréckt d’Interface an deen nächsten Sprong, dee Stack géif wielen, an route print -4 weist ob de gedréckte Prefix iwwerhaapt existéiert.

Zweeten Schrëtt: bestätegt datt de Server de Paket weiderleede wäert

Wann de Client-Route richteg ass, erreecht de Paket de Server an de Server muss zouleeën, en weiderzeleeden. De Kernel-Schalter ass déi éischt Paart, an sysctl net.ipv4.ip_forward muss 1 zréckgi. En mat echo 1 > /proc/sys/net/ipv4/ip_forward ze setzen hält bis zum nächste Neistart, an genau duerfir kënnt déiselwecht Reklamatioun Wochen duerno zréck.

Schreift et dohinner, wou en Neistart iwwersteet:

echo 'net.ipv4.ip_forward = 1' > /etc/sysctl.d/99-openvpn-forward.conf
sysctl --system

Déi zweet Paart ass d’Filtertabell. En Host mat installéiertem Docker huet dacks eng FORWARD-Politik vun DROP, an den Tunnel ierft déi Entscheedung. iptables -L FORWARD -v -n weist d’Politik an d’Paketzähler allebéid; wann d’Politik DROP ass, brauch d’Weiderleede eng explizit Erlaabnes fir d’Richtung Tunnel op LAN an eng fir d’Äntwert.

Drëtte Schrëtt: follegt de Paket op de LAN an sicht d’Äntwert

Kuckt béid Säiten vum Server gläichzäiteg un. Huelt um Tunnel an um LAN-Interface op, gefiltert op ee Client an een Host, sou datt d’Ausgab liesbar bleift:

tcpdump -ni tun0 host 192.168.50.10
tcpdump -ni eth0 host 192.168.50.10

Ufroe, déi um tun0 an nach eng Kéier um eth0 mat enger Quell vun 10.8.0.x optauchen, gefollegt vu Stëllt, heeschen datt de Paket ukomm ass an d’Äntwert soss anzwousch higaangen ass. Den LAN-Host äntwert sengem Standard-Gateway, dee Gateway huet keng Route fir de VPN-Pool, an d’Äntwert stierft um LAN-Router. Den LAN-Host vum Server aus pingen beweise just näischt iwwer dëse Wee, well deen Traffic ni den Tunnel iwwerbréckt.

Véierte Schrëtt: wielt tëschent Iwwersetzung an enger Réckroute

Zwee Reparaturen zoumaachen d’Lach, an de Choix huet Konsequenzen iwwer d’Fro eraus, ob Ping funktionnéiert. D’Quell-Iwwersetzung mécht de Server zum schäinbare Sender:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Limitéiert d’Regel op de Pool an d’LAN-Interface, maacht se dann permanent, soss hëlt déi nächst Firewall-Neilaascht Är Korrektur stëll ewech. De Präis ass Identitéit: all Client gesäit am LAN-Log an an den Zougangsregelen aus wéi de VPN-Server, an per-client policy becomes guesswork.

Eng statesch Route fir 10.8.0.0/24 um LAN-Router, déi op de VPN-Server weist, hält d’Clientadressen sichtbar an ass déi besser laangfristeg Äntwert, wann dee Router Ären ass. Vill Siten bedreiwen eng Zäit laang béides, NAT fir déi direkt Reparatur an d’Route, soubal d’Firewallpolitik geschriwwe ass. Wann de Server e Site-zu-Site-Peer ass an net e Pool, brauch d’Serversäit och en iroute fir de wäite Subnetz, soss existéiert d’Peer-Route, awer den Client-Traffic gëtt ni domat associéiert.

Fënneften Schrëtt: verifizéiert vum Client aus a schreift op, wat sech geännert huet

Maacht de Krees vum Client aus zou, net vum Server. Verbënnt Iech mat engem richtege Service um LAN-Host, a bestätegt dann datt d’Iwwersetzungszähler sech mat iptables -t nat -L POSTROUTING -v -n beweegt hunn, well eng Regel mat null Pakete ass eng Regel, déi ni gepasst huet. conntrack -L -s 10.8.0.5 weist de Floss an säi Staat, wann Dir e Beweis braucht datt d’Réckrichtung verfollegt gëtt.

Hannerloosst eng Notiz an der Serverkonfiguratioun: wéi ee Subnetz, wéi eng Interface, wéi eng Regel, an ob de LAN-Router eng Route zréck dréit. Déi nächst Kéier wann e Client-Upgrade eng gedréckt Route läscht, verwandelt déi Notiz eng Brandbekämpfungssitzung an eng Korrektur vun enger Linn.

Ähnlech Artikelen