OpenVPN-LAN-Zougrëff futti? Zonen, Routen an de Wee zréck kontrolléieren

Den Tunnel mellt eng erfollegräich Verbindung, dem Router seng eege Säit lued, an d'Netzlafwierk op eng Maschinn hannendrun leeft nach ëmmer an eng Zäitiwwerschreidung. Näischt an dëser Kombinatioun ass widerspréchlech: den Router äntwert als sech selwer, an eppes hannendrun z'erreechen ass eng aner Entscheedung, déi op enger anerer Plaz geholl gëtt. Schafft d'Kontrollen hei drënner der Rei no of a stoppt beim éischte Fehler, well jiddwereen op dee virdrun opbaut. Wann all véier duerchginn, sëtzt de Fehler iwwer dem Tunnel an net dran.

Wee Filter gesäit e Pak op der Richtung LAN

E Pak, deen un den Router adresséiert ass, gëtt lokal verbraucht; e Pak, deen un en Host hannendrun adresséiert ass, muss weidergeleet ginn, an d'Firewallen beurteelen déi zwou Fäll getrennt. D'Erlaabnis, den Router z'erreechen, seet also näischt iwwer d'Erlaabnis, en ze duerchqueren. Firmware, déi seng Regelgruppe verstoppt, setzt awer béides ëm, meeschtens als Auswiel, déi LAN, Internet oder béides ubitt. Wann d'Auswiel de LAN ewechléisst, hëlleft keng spéider Kontroll.

OpenWrt mécht dës Deelung ënnersichbar, an den Ënnerscheed ass eng Kéier wäert ze liesen. D'Zone, déi den Tunnel ofschléisst, brauch eng Weiderleitungsregel op d'LAN-Zone, wärend eng Inputregel nëmme Servicer um Router selwer regléiert. Eng funktionéierend Verwaltungssäit niewent engem doudegen LAN ass dat gewéinlecht Resultat vun där feelender Weiderleitungsregel.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Kuckt den Zil vun der Weiderleitung vun der Zone, déi den Tunnel dréit: accept ass dat, wat d'Leeder brauch, an reject erkläert all Zäitiwwerschreidung hei drënner. Zwou Nopeschastellunge produzéieren deeselwechte Symptom, also schléisst se hei aus, well Dir schonn hei sidd. D'Verdrahtungslos Isolatioun verstoppt verdrahten Hoste virun drahtlose Clienten, an en Router, deen onaktiv LAN-Hosten als offline behandelt, kann d'Äntwerten och no engem funktionéierende Weiderleeden verwerfen.

Firwat en opgedeelte Tunnel de gedréckte Prefix brauch

E Client, deen all Trafik duerch den Tunnel schéckt, huet de LAN-Prefix schonn iwwer seng Standardroute, also gëtt et näischt bäizesetzen. Den opgedeelte Tunnel ass de Fall, deen de Prefix ausdrécklech verlaangt, well soss näischt an der Konfiguratioun en ernimmt. Setzt d'Direktiv an d'Serverkonfiguratioun a lued den Service nei.

push "route 192.168.50.0 255.255.255.0"

Profiler, déi route-nopull enthalen, ignoréieren déi gedréckte Routen, also gehéiert deeselwechte Prefix an d'Clientdatei. Bestätegt op alle Fall, datt den Asaz ukomm ass, amplaz et unzehuelen, well eng stëll Iwwerschreiwung genee wéi e Firewallproblem ausgesäit.

ip route show | grep 192.168.50

E Site-zu-Site-Partner freet méi wéi en Drécken. Den Server muss léieren, wéi eng Prefixen hannert deem Partner leien, wat eng iroute -Linn a senger client-config-dir-Datei mécht, an seng eege Tabell brauch eng passend Route an den Tunnel.

D'Äntwert brauch eng Adress, déi se erreeche kann

D'Ufro weiderzeleeden ass nëmmen d'Halschent vun engem Austausch, well den LAN-Host op eng Adress aus dem Tunnelpool äntwere muss. Kleng Router reegelen dat meeschtens duerch Iwwersetze vun der Quell op der Tunnelzone, sou datt d'Äntwert un den Router adresséiert ass an néierens soss Konfiguratioun brauch. Huelt déi Iwwersetzung ewech, an den Host brauch seng eege Route an de Pool, déi en gratis kritt, wann den Router säi Standardgateway ass. En Host mat enger manuell gesater Adress an engem aneren Gateway äntwert duerch dee Gateway, an de Client gesäit eng Sitzung opgoen an duerno stoe bleiwen.

tcpdump -ni tun0 host 192.168.50.20

Fëllt dat um Router aus, während de Client seng Ufro widderhëlt, a liest d'Zil vun der Äntwert amplaz d'Ufro selwer. Eng Äntwert, déi un de Pool adresséiert ass, bedeit, datt de Wee zréck funktionéiert an de Fehler méi wäit bannen ass. Keng Äntwert heescht, datt den Host de Pak ni ugeholl huet, wat Iech zréck op d'Regelgruppe schéckt.

Eng Leeder, déi op der richteger Plaz ophält

Véier Kontrollen lokaliséieren d'Schicht, an jiddwereen ass een eenzegen Uerder amplaz vun engem Urteel. Fëllt se der Rei no aus a stoppt beim éischte Fehler. D'Reiefolleg ass méi wichteg wéi d'Uerderen, well eng spéider Stuf, déi duerchgeet, de Grond verstoppt, firwat eng fréier versot huet.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Nimm gehéieren un d'Enn vun der Leeder, ni un den Ufank. Eng Deelung, déi als 192.168.50.20 äntwert awer net als nas.local, weist op Nimmopléisung oder op e Sichsuffix hin, an d'Firewallännerunge kënnen der zwee net änneren.

Schreift déi éischt versoten Stuf op, gitt duerno de Serviceporten hir eege Ronn, well en Nolauschterer an eng Hosterlaabnis getrennte Fuerderunge sinn. Dateideelung, Fernschriifdësch a Kamerasstréim brauchen allen zwee, an eng Hostfirewall, déi dem LAN-Subnetz vertraut awer net dem Tunnelpool, verwerft de Client, während ping nach duerchgeet. Wann all Kontrollen duerchginn an d'Applikatioun awer versot, sëtzt de Fehler iwwer dem Tunnel: en Service, deen un eng Schnëttstell gebonnen ass, oder e Proxy, deen um Client konfiguréiert ass.