VPN verbënnt, awer LAN-Apparater sinn net erreechbar: wat ze kontrolléieren

Verkéier geet an den Tunnel, de Gateway äntwert op seng eege Adress, a hannendrun äntwert näischt. Dëst Muster ass heefeg an et ass kee Widdersproch: eng Äntwert vum Gateway beweist, dass den Tunnel eriwwer ass, an et beweist näischt iwwer dat, wat mat engem Paket geschitt, dat hannendru adresséiert ass. Déi zwee Tester benotzen ënnerschiddlech Codeweeër op der selwechter Maschinn.

Test vun elo un eppes op der anerer Säit vum Gateway. Déi eege Adress vum Gateway wäert weider äntweren, egal wéi futti d’Weiderleedung ass.

De Gateway äntwert aus sengem eigenen Stack

E Paket, dat un de Gateway adresséiert ass, gëtt op säin lokale Inputwee geliwwert, wou de Kernel decidéiert, ob e lauschende Socket et akzeptéiert. E Paket, dat un en Host hannendrun vum Gateway adresséiert ass, gëtt amplaz op de Weiderleetwee geliwwert, wou eng aner Rei Kontrollen gëllt. D’Weiderleedung kann ganz deaktivéiert sinn, oder de Kernel aktivéiert se an duerno lehnt eng Filterregele se of, déi den Tunnel ni ernimmt. Näischt dovun beaflosst dem Gateway seng eege Äntwert, dofir täuscht de Symptom sou zouverlässeg.

Verwaltungssäiten, déi duerch den Tunnel erreecht ginn, gehéieren och an déi éischt Kategorie. Si sinn e Beweis iwwer den Tunnel, net iwwer d’Netz hannendrun.

Fuelt de Floss bis zur éischter Grenz, déi en fale léisst

Fänkt beim Client un a bestätegt d’Route an d’Quelladress, déi de Floss benotze wäert. Kuckt dann de Gateway un, wéi genau dee Floss ukënnt, an nach eng Kéier, wéi de selwechte Floss Richtung LAN fortgeet. Wann en ni ukënnt, ass de Problem op der Client-Säit oder an den erlaabten Prefixe vum Tunnel. Wann en ukënnt an ni fortgeet, ass de Problem an der Weiderleedung oder an engem Filter um Wee no vir, an d’Opnam huet schonn gesot, wéien.

De selwechten Test vum Gateway aus auszeféieren, verstoppt déi interessant Hallschent, well e Paket, dat vum Gateway hierkënnt, eng aner Quell an eng aner Retourfuerderung huet. Benotzt de Floss vum Client, mat senger eegener Quelladress, bei all Schratt. Eng Opnam op der falscher Interface produzéiert selbstbewosst Blödsinn.

Retourrouten an Host-Firewalle falen getrennt

Soubal de Paket den Host erreecht, mussen nach dräi Saachen halen. De Service muss op der Adress lauschen, op déi de Paket geschéckt gouf, d’Host-Firewall muss et akzeptéieren, an d’Äntwert muss eng Route zréck zum Client-Pool hunn. Déi lescht fält dacks, well d’Standardroute vum Host op e Router weist, deen nach ni vum Tunnelberäich héieren huet. D’Resultat ass eng Verbindung, déi aus dem Siichtwinkel vum Host entsteet an an der anerer Richtung stëll stierft.

Test de Retourwee bewosst, andeems Dir vum Client schéckt an de Retour beobachtet. Eng eenrichtung Opnam entscheet a Sekonnen, wat eng Stonn Spekulatioun net entscheede wäert.

Bestätegt all Hop mat der Quelladress vum Client

Féiert d’Kontrollen an der Rei aus a bewaart all Ausgab, well de Wäert am Verglach läit, net an enger eenzeger Linn. D’Befehler hei drënner fixéieren d’Quelladress, weisen déi gewielte Route a maachen zwou Säite vun der Weiderleedung op. Ersetzt Ären eegene LAN-Host an Är Tunnel-Interface.

ip route get 192.168.50.20 from 10.8.0.2
ping -I 10.8.0.2 -c 3 192.168.50.20
sudo tcpdump -ni tun0 host 192.168.50.20
sudo tcpdump -ni br0 host 192.168.50.20

D’Route-Ufro weist, ob de Client dee Paket iwwerhaapt an den Tunnel schécke géif, an de ping weist, ob eppes vum Host zréckkoum. Zwou Opnamen ze vergläichen trennt Ukommen vun Ausgang, well e Frame op der Tunnel-Interface ouni Géigestéck op der LAN-Interface eng Weiderleetentscheedung ass an net e Servicefehler. Wann zwou Opnamen d’Ufro weisen an nëmmen eng d’Äntwert, ass d’Retourroute de verbleiwenen Verdächtegen.

Notéiert, wéi eng Adress geäntwert huet a wéi eng weidergeleet Destinatioun verseeft huet. Dee Saz mécht de Bericht ëmsetzbar amplaz vun der Behaaptung, de Server wier net erreechbar.