VPN-Gateway brauch IP-Weiderleedung: wat ze kontrolléieren

Äre Client kann d'Adress vum Gateway pingen, während all Ressource dohannert onereechbar bleift. Dës zwou Observatiounen beschreiwen en Host, dee mat Iech schwätzt, an e Router, deen net routéiert, wat verschidde Rollen op der selwechter Maschinn sinn. D'Weiderleedung ass de Schalter tëscht hinnen.

Déi zwou Rolle sinn onofhängeg, an dat sinn och déi zwou Adressfamilljen.

Op seng eegen Adress äntweren beweist näischt

Wann e Paket un de Gateway selwer adresséiert ass, verbraucht de lokale Stack et a et geschitt keng Weiderleedungsentscheedung. Dofir seet en erfollegräiche Ping op d'Tunneladress oder en Administratiounsinterface Iech, datt den Daemon lieft an den Tunnel erop ass, awer et seet näischt iwwer Verkéier, deen fir en Netz hannert der Këscht bestëmmt ass. De Kernel konsultéiert säi Weiderleedungswee nëmme fir Paketen, déi net un hien adresséiert sinn.

Liest d'Ufuerderung als Roll, net als Astellung: dësen Host muss Paketen tëscht zwee Interfaces beweegen. E Laptop, deen nëmmen en entfernt Netz erreeche muss, hëlt déi Roll ni an, an en Site-zu-Site-Endpunkt hëlt se ëmmer. D'Ufuerderung sou liesen erkläert, firwat eng funktionéierend Clientkonfiguratioun feelt, wann se op e Gateway verréckelt gëtt.

Dee selwechte Saz gëllt fir d'Firewall virun der Weiderleedungsentscheedung, déi hir eege Politik huet wat weidergeleet dierf ginn.

Kontrolléiert all Adressfamill getrennt

IPv4-Weiderleedung ass ee Schalter, an IPv6-Weiderleedung ass en aneren mat sengem eigenen Verhalen pro Interface. Den éischten ze aktivéieren seet näischt iwwer den zweeten, an en Dual-Stack-Client kann d'Halschent vun engem Netz erreechen, während de Rescht däischter bleift. Zwee Clienten aus verschiddene Famillje kënnen dofir iwwer dee selwechte Gateway net eens sinn. Fro wéi eng Famill de feelerhafte Client benotzt huet, ier Dir eng vun den zwou Astellungen ännert. Bestätegt béid, ier Dir schléisst, datt den Design vum Routing falsch ass.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Op ville Distributiounen ass de Wäert, deen Dir zur Lafzäit liest, do vun engem Service oder enger Konfiguratiounsdatei gesat ginn, sou datt eng Ännerung mat engem eenzegaartege Kommando beim Neistart verschwanne kann. Fannt d'Datei, déi d'Astellung besëtzt, ier Dir de Lafzäitwäert ännert.

Weiderleedung ass eng vu véier Ufuerderungen

En funktionéierende weidergeleet Floss brauch véier Saachen op eemol: de Client muss wëssen, datt d'Zil hannert dem Tunnel ass, de Gateway muss eng Route weider hunn, Äntwerten mussen e Wee zréck hunn, an d'Firewall muss de Verkéier erlaben. D'Quellübersetzung gehéiert als Optioun an net als Regel zu deem Design, well e private geroutete Netz mat symmetresche Weeër se net brauch an en asymmetrescht se meeschtens brauch. Jiddwereen vun de véier feelt onofhängeg, dofir verréckelt d'Reparatur vun engem selten d'Symptom. Schreift all véier op, ier Dir ee vun hinnen ännert.

Cloud-Plattformen addéieren eng fënneft Iwwerleeung. Verschiddener erzwéngen Quell- an Zilkontrollen op Instanzen, wat weidergeleet Paketen verwerft, egal wéi de Kernel vum Gaascht konfiguréiert ass. D'Netzwierkdokumentatioun vun der Plattform selwer ass do d'Autoritéit, net d'sysctl-Ausgab an der VM.

Test vum Client, net vum Gateway

En Test, deen an der eegener Shell vum Gateway leeft, geet duerch keen Deel vum Weiderleedungswee, deen Dir just aktivéiert hutt. Generéiert de Verkéier vum Client, deen de Problem huet, a bestätegt, datt en eppes hannert dem Gateway erreecht an net de Gateway selwer. Dat ass den eenzegen Test, deen d'Roll ausübt, déi Dir geännert hutt.

Halt d'Lauschterregelen an d'Weiderleedungsregelen a Kapp an am Ännerungsprotokoll getrennt. D'VPN-Port opzemaachen lässt Clienten an de Service; et gëtt hinnen näischt um Netz dohannert, an déi zwee gesinn identesch aus an enger Firewall-Lëscht, déi iwwer Joeren gewuess ass.

Wann Paketen ukommen an de Service den Benotzer duerno ofweist, sidd Dir iwwer d'Netzwierk eraus. Fuert mat der Applikatiounsautoriséierung weider, amplaz d'Weiderleedungspolitik nach eng Kéier ze verbreeden.