VPN-Clienten verbannen sech, awer hu keen Internet: dräi fehlend Deeler

De Client kritt eng Adress, de Server äntwert op ping, an all Säit leeft nach ëmmer an en Timeout. Déi meescht Leit fänken un dësem Punkt un, de Clientprofil ze änneren, wat meeschtens verschwendete Mühen ass: soubal den Tunnel steet, muss sech de Server wéi e Router behuelen. Dräi Konditioune mussen zur selwechter Zäit gëllen, ier e Paket erausgeet an eng Äntwert zréckkënnt, an de Symptom ass identesch, egal wéi eng feelt.

Firwat en funktionéierenden Tunnel nach ëmmer keen Ausgang huet

De Kernel muss Paketen tëschent Interfaces weiderleeden, wat bei de meeschte Linux-Distributiounen standardméisseg aus ass. Den Traffic muss op eng Adress iwwersat ginn, déi d'Aussenwelt beäntwere kann, ausser all Upstream-Router kennt schonn de Réckwee zum Tunnelsubnetz. De Weiderleitungswee vun der Firewall muss den Traffic a béid Richtungen erlaben, inklusiv d'Äntwerten.

Jidderee vun dëse kann eenzel reparéiert ginn, an dat ass d'Fal. Weiderleitung ouni Iwwersetzungsregel unzemaachen, léisst d'Paketen mat enger privater Quell an ouni Réckwee erausgoen. Iwwersetzung ouni Weiderleitungsregel derbäizesetzen, léisst de Kernel d'Paket ee Schrëtt méi spéit fale loossen.

Also test d'Dräi Schichten amplaz vum Client, an ännert een zur Zäit, sou datt d'Resultat eppes bedeit.

Weiderleitung ass e Kernel-Schalter, deen Dir permanant musst maachen

Kuckt deen aktuellen Wäert, ier Dir en ännert, setzt en duerno a bestätegt, datt d'Ännerung gewierkt huet.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
sysctl net.ipv4.ip_forward

Den éischte Kommando gëtt deen aktuellen Wäert un, den zweeten setzt en zur Lafzäit, an den drëtten beweist, datt d'Schreiwen funktionéiert huet. De Lafzäitwäert verschwënnt beim nächsten Neistart, dofir kann eng funktionéierend Sessioun no Maintenance ouni all Konfiguratiounsännerung briechen.

Maacht en permanant an enger Datei ënner /etc/sysctl.d/, an applikéiert dann déi Datei amplaz nei ze starten, fir et erauszefannen. Op FreeBSD ass d'Äquivalent net.inet.ip.forwarding, mat gateway_enable=YES an rc.conf fir d'Permanenz. En Apparat, deen d'Weiderleitung als deaktivéiert mëellt, erkläert eng ganz Klass vu Berichter „Paketen kommen un, an et kënnt näischt zréck”. Kuckt d'Astellung och no all Upgrade, well en nei gebaute Kernel oder en ausgetauscht Apparatebild en zrécksetze kann, ouni et engem ze soen.

Wielt masquerade oder eng fix Iwwersetzungsadress

Mat enger dynamescher Aussenadress ass masquerading déi einfachst korrekt Form. Nennt den Tunnelsubnetz als Quell an de baussenzege Interface als Ausgang.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -o eth0 -j MASQUERADE

Mat enger statescher ëffentlecher Adress ass d'Quell-Iwwersetzung op genau déi Adress méi viraussobar an méi einfach ze auditieren.

iptables -t nat -A POSTROUTING -s 10.9.0.0/24 -j SNAT --to-source 198.51.100.10

Déi zweet Form dréit eng Maintenance-Fal: eng haart codéiert Adress, déi sech méi spéit ännert, hält den Tunnel am Laf, während den Internetzougrëff stille stoppt. Entweder benotzt masquerade oder aktualiséiert d'Regel, all Kéier wann den Anbieder Iech verréckelt. Den Interface zielt och, well e Router, deen säin eegenen Upstream-Tunnel deelt, muss duerch deen Tunnel iwwersetzen an net duerch de physesche WAN.

D'Filtertabell ass dat drëtt Paart

Weiderleitung an Iwwersetzung kënnen allebéid korrekt sinn, während d'Paket nach ëmmer an der Filtertabell stierft. ufw ass e dacks Schëllege: seng Weiderleitungspolitik kënnt als DROP, an de Rescht vun der Astellung kann komplett korrekt ausgesinn, während déi eng Astellung den Traffic ëmbréngt. Se ze hiewen ass eng bewosst Sécherheetsentscheedung an net eng Këscht zum Ukräizen.

iptables -A FORWARD -i tun0 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Déi éischt Regel erlaabt neien Traffic vum Tunnel no baussen, an déi zweet nëmmen d'Äntwerten zréck. Verenkt béid op den Tunnelsubnetz an de gewollten Zil, well eng allgemeng Erlaabnes um Tunnelsinterface d'VPN zu engem oppenen Ausgangspunkt fir jiddereen mécht, dee sech authentifizéiere kann.

En iwwerbréckten Tunnel brauch eng aner Äntwert. D'Adress gehéiert zur Bréck, net zum physesche Port, also hëlt d'Versklaven vum Interface d'Adress ewech, déi en virdru hat, an den Host gesäit onereechbar aus, bis d'Bréck selwer eng kritt, wat dhclient br0 ka liwweren. Dee Feeler gesäit wéi e VPN-Problem aus an ass e Problem vun der zweeter Schicht. Kuckt d'Bréck hir eegen Adress, ier Dir d'Firewall ustitt, well eng Filterännerung kann en Host net reparéieren, deen keng Adress méi huet fir ze schécken.

Wou een nokuckt, wann eng Säit ni gelueden gëtt

Pingt d'Tunneladress vum Server, fir ze beweisen, datt den Tunnel existéiert. Fuert dann en traceroute vum Client op eng ëffentlech Adress aus a liest, wou en ophält: um Server kënnt d'Paket un, gëtt awer net weidergeleet oder iwwersat; hannert dem Server ass de Problem upstream an ausserhalb vun Ären Hänn.

ping -c 3 10.9.0.1
traceroute -n 198.51.100.10

Den éischte Kommando beweist, datt den Tunnel Traffic bis zum Server selwer dréit, an den zweeten weist, wéi wäit e Paket no baussen kënnt. Eng Spuer, déi op der Tunneladress ophält, weist op Weiderleitung oder Iwwersetzung um Server hin, während eng Spuer, déi ee Sprong méi spéit ophält, op den Anbieder oder de Réckwee vum Upstream-Router weist.

Um Server beobacht de baussenzegen Interface, während e Client eng Säit lued. Traffic, dee mat enger privater Quelladress erausgeet, bedeit, datt d'Iwwersetzung feelt, an iwwerhaapt keng Äntwert bedeit, datt de Weiderleitungswee oder de Réckwee upstream en erofgeet.

Wann Remote-Clienten och Hosts um LAN vum Server mussen erreechen, denkt drun, datt de LAN e Réckwee zum Tunnelsubnetz brauch. Dat ass Routing an net Iwwersetzung, an et ass de Schrëtt, deen am dacksten vergiess gëtt, nodeems de Internetwee endlech funktionéiert.