Geroutete VPN-Client erreecht de Server, awer net d'LAN-Hosten

Den Tunnel geet erop, de Client pingt de VPN-Server, an eng gedeelt Datei op enger Maschinn ee Sprong méi wäit äntwert ni. Näischt an der Client-Konfiguratioun erkläert dat, well d'Ufro huet de Client tatsächlech verlooss an ass tatsächlech ukomm. Wat versot huet, ass de Wee zréck, an dat Gerät, wat versot huet, ass meeschtens d'LAN-Gateway an net de VPN-Host. D'Äntwertpaket verfollegen erkläert déi ganz Klass vun Symptomer.

Verfollegt d'Äntwert, net d'Ufro

De VPN-Server entschlësselt d'Client-Paket a leet et an d'LAN weider, woubäi d'Client-Adress nach am Quellfeld bleift. Den Zil-Host äntwert op déi Adress, an elo entscheet seng eege Routing-Tabelle alles. Seng Standard-Gateway weess näischt vum Tunnel-Pool, dofir geet d'Äntwert Richtung Internetprovider eraus a gëtt iergendwou op deem Wee verkaaft.

Beim Client ass de Symptom en stille Timeout: keng Oflehnung, keen Reset, just näischt. D'Duerchsiche vun enger gedeelter Datei hänkt, de Ping mellt keng Äntwert, an d'Server-Logge gesinn gesond aus, well de Server seng Aarbecht gemaach huet.

Setzt d'Réckwee-Route dohinner, wou d'Hosten higucken

All LAN-Host froeet seng Standard-Gateway, dofir ass d'Gateway dat eenzegt Gerät, wat muss wëssen, wou den Tunnel-Pool läit. Füügt do eng statesch Route derbäi an all Host ierft de richtege Wee, ouni ugedoe ze ginn.

Wann d'Gateway hir eege Adress als DHCP-Optioun verdeelt, verdeelt d'Route esou, datt nei Maschinnen se automatesch ophuelen. Soss läit d'Route an enger Konfiguratiounsdatei a verschwënnt beim nächsten Neibau.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Firwat Source-NAT et schéngt ze reparéieren

D'Client-Pool hannert der Adress vum VPN-Server ze maskéieren hëlt de Problem ewech, andeems d'Client-Adress aus dem Paket geholl gëtt. D'Äntwerten kommen dann zréck op de Server, dee schonn weess, wéi een den Tunnel erreecht, an alles funktionéiert. De Präis ass, datt intern Hosten net méi gesinn, wien de Client ass, an all Verbindung ausgesäit, wéi wa se vun enger eenzeger Maschinn kënnt.

Dee Wiessel ass heiansdo richteg, zum Beispill wann engem Händler-Gerät keng statesch Route ka ginn. Maacht d'Reegel net méi breet wéi de momentanen Pool, well eng Reegel, déi fir en /24 geschriwwe gouf, ophält ze passen, deen Dag wou de Pool op en /16 ëmnummeréiert gëtt, an dat éischt Zeeche ass eng Partie nei Clienten, déi sech verbannen an näischt erreechen.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

De Cloud-Wee brauch dräi Astellungen

An engem VPC kënnt déiselwecht Lück an enger anerer Form zréck, well d'Subnetz guer keng Route fir de Client-Beräich huet. D'Routentabelle brauch en Eintrag fir den Tunnel-Pool, deen op d'Netzwierk-Interface vun der Instanz zilt, an d'Interface muss d'Quell- an d'Zilprüfung ausgeschalt hunn, datt d'Plattform Pakete akzeptéiert, deenen hir Quell net hir eegen Adress ass. Sécherheetsgruppen an Netzwierk-ACLe mussen de Pool och a béid Richtungen zouloossen.

All Ausloossung erzeugt eng eege deelweis Feelfunktioun. Loosst den Eintrag an der Routentabelle ewech an privat Instanzen äntweren an en Subnetz, dat d'Äntwert net zréck an de Pool ka droen. Mat der Prüfung nach un, verwërft d'Plattform d'Äntwert, nodeems d'Instanz se schonn geschéckt huet. Ouni d'Reegel vun der Sécherheetsgrupp kënnt d'Ufro selwer ni un, an de Client gesäit den Timeout eng Schicht méi fréi.

Féiert d'Prüfungen an dëser Reihenfolg aus

Bestätegt d'Weiderleedung an d'Filterpolitik, ier Dir d'Routing beschëllegt, well en Host, deen net weiderleet, verseet op déiselwecht stille Manéier. Liest duerno d'effektiv Astellung fir de Réckwee op der Interface, déi den Tunnel dréit, well e strikte Filter Äntwerten aus enger onerwaarter Richtung ka verwërfen.

Schliesst mat engem Opnam um LAN-Host of, während de Client en pingt. Eng Ufro, déi ouni passend Äntwert ukommt, beweist de Réckwee, an eng Ufro, déi ni ukommt, réckelt de Feeler zréck op de Server oder den Tunnel.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

D'Quell- an d'Zilprüfung ass dokumentéiert am Guide fir elastesch Netzwierk-Interfacen. Setzt se op der Interface, déi den Tunnelverkéier tatsächlech dréit, net op engem onbedeelegten Adapter, deen un déiselwecht Instanz ugeschloss ass.