Firwat e Server hannert engem VPN-Client duerch den Tunnel äntwert

Agehend Verbindungen zu engem Host, deen och e VPN-Client bedreift, schloe op eng ganz spezifesch Manéier fehl: den Handshake kënnt un, den Daemon äntwert, an de Client kritt näischt zréck. Näischt blockéiert de Port. D'Repon ass duerch den Tunnel erausgaang, well den Tunnel d'Standardroute besëtzt an de Kernel Reponwen no Destinatioun routet, net no der Erënnerung drun, wou d'Ufro hierkënnt. Den Daemon ass a Ordnung an de Port ass op.

D'Repon gëtt geroutet, net erënnert

E VPN-Client, deen eng Standardroute installéiert, füügt en Androen dobäi, deen de LAN-Gateway iwwertrëfft, sief et duerch Metrik oder andeems de Raum an zwee méi spezifesch Hälften opgedeelt gëtt. Ausgoend Pakete wielen elo den Tunnel-Interface. De Kernel freet ni, wouhi d'Paket, op dat geäntwert gëtt, ursprénglech komm ass. Déi eenzeg Auslossung erkläert all Symptom dat follegt.

D'Hinrichtung gëtt no Destinatioun geroutet, an déi ëmgedréint Richtung och. D'Repon ass un en ëffentleche Client adresséiert, deen den Tunnel gär dréit. Déi wäit Enn kritt eng Paket, dee seng Quell net besëtzt, verwërf et, an den urspréngleche Client waart bis d'Zäit ofleeft.

Streng Réckwee-Filterung kann dat agehend Paket verwerfen, ier den Daemon et iwwerhaapt liest. Kuckt dëse Compteur als éischt, well e Filter-Drop an e Routing-Fehler vun dobaussen identesch ausgesinn.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Den éischte Kommando weist, wéi eng Standardroute just gewënnt. Den zweete mellt, ob streng Filterung global oder pro Interface gëllt, an den drëtte weist all Regel vun der Forward-Kette, déi bedeelegt ka sinn.

Dräi Weeër fir de Réckwee ze behalen

D'Destinatioun vum Service vum Tunnel auszeschléissen ass déi schmuelst Optioun. Eng Hostroute op de LAN-Gateway, plus en Daemon, deen un d'physesch Adress gebonne ass amplaz un all Adress, hält deen ee Floss ausserhalb vum Tunnel. D'Ännerung ass lokal an einfach zréck ze dréien.

Policy-Routing ass déi allgemeng Äntwert. Eng Regel, déi op d'Quelladress oder op eng Firewall-Mark gesat ass, wielt eng Tabell, där hire Standard op de WAN-Gateway weist, wärend dem Host seng eege Verbindungen de Tunnel weider benotzen. Halt d'Prioritéit explizit, sou datt d'Regel spéider net iwwerschatzt ka ginn.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Déi éischt zwee Kommandoe bauen den alternative Wee fir Reponwen, déi aus der ëffentlecher Adress kommen. Den drëtte freet de Kernel, wéi ee Wee genee déi Quell an Destinatioun huelen, an esou bestätegt Dir, datt d'Regel iergendeen Effekt huet.

Quell-Iwwersetzung ass déi drëtt Optioun an déi eenzeg, déi enger Router iwwerlieft, deen schonn NAT virum Service mécht. D'Repon muss zréck bei deen Router, a Maskéierung op den WAN-Interface erreecht dat, wärend de Client aus de Service-Loggen verstoppt gëtt. D'Standardroute no der Verbindung vun Hand ersetzen ass eng Diagnos, well de Client den Table bei der nächster Reconnectioun nei schreift.

Wann d'Këscht och fir e LAN routet

Deen ee Fehler erschéngt een Hopp méi wäit, wann den Host fir Apparater hannert him routet. Eng agehend Verbindung gëtt un en internen Apparat virugeleet, deem säin eenzege Réckwee den Tunnel ass, an d'Repon erreecht de externen Client vun der Adress vum Provider. Den internen Apparat funktionéiert déi ganz Zäit richteg.

D'Verbindungsverfollegung gesäit dann eng Repon fir e Floss, den se ni opgeholl huet, a verwërf se. Destinatiouns-Iwwersetzung leet d'agehend Verbindung beim Apparat of, an Quell-Iwwersetzung léisst d'Repon ausgesinn, wéi wann se vum Router selwer kënnt.

Eng Policy-Route, déi de virugeleete Port um WAN hält, wärend dem Router säin eegene Verkéier den Tunnel benotzt, ass dat méi propper Äquivalent. Ouni Quell-Iwwersetzung ass d'Repon un den externen Client adresséiert, an den internen Apparat huet guer keng Route fir déi Adress.

Dräi Proben, déi d'Ursaachen trennen

Maacht dräi Proben: eng Verbindung an d'Këscht vum Internet, eng Verbindung eraus dovun op en ëffentlechen Host an eng Numm-Sich. Wa déi éischt zwee sech net eenzeg sinn, ass de Réckwee schold. Wa Nimm a béide Richtungen feelen, ass den Opléiser en anere Fehler, deen just den Tunnel deelt.

Maacht d'Routing-Fro als éischt richteg, kuckt dann op Nimm. Béides ze vermëschen ass de Wee, wéi en funktionéierende Server fir en abrochsenen Opléiser beschëllegt gëtt.

Notéiert, wéi en Interface d'Ausnam nennt, a halt d'Konfiguratioun ënner Versiounskontroll. Eng Regel, déi géint en Interface geschriwwe gouf, deen no engem Upgrade ëmbenannt gëtt, besteet haut a feelt no dem nächste Neistart.