VPN-Route oder Firewallregel: wat léisst de Paket falen?

Zwee onofhängeg Entscheidungen erginn sech mam selwechte Paket, an all eenzel kann d'Ufro stëll beenden. D'Routensich entscheet sech fir eng Interface an en nächsten Hop, duerno entscheet de Paketfilter, ob dës Kombinatioun erlaabt ass. En Timeout seet Iech, datt eng vun deenen zwee refuséiert huet, net wéi eng. Schafft d'Etappen der Rei no duerch an d'Reparatur hält meeschtens op eng Vermutung ze sinn.

Zwee Entscheidungen, ee Paket, zwee Besëtzer

D'Routensich consultéiert fir d'éischt d'Politikregelen, duerno d'Tabell op déi si weisen, an entscheet sech fir de spezifeschsten Prefix dee mat der Destinatioun iwwerenee kënnt. E Client deen eng Tunnelroute installéiert huet, besëtzt dës Entscheidung, an näischt an enger Firewallregel kann se ersetzen. Wann d'Sich op eng onerwaart Plaz weist, schafft all spéider Etapp mam falsche Paket.

D'Filtere ass getrennt. Op engem Linux Host deelen d'netfilter Haken den Traffic no deem fir wien de Paket ass: Output verléisst d'Maschinn, Input endet drop, Forward geet duerch. Eng Gateway déi VPN-Clients unhëlt an se an eng LAN routet, brauch de Forward-Wee, an dat ass genee déi Kette déi déi meescht Standardkonfiguratiounenidelen léisst.

D'Auswiel vun der Quell gehéiert zu der selwechter Entscheidung, an do verstoppe sech déi meescht Onstëmmegkeeten. De Kernel wielt eng Quelladress vun der Ausgangsinterface, ausser d'Route nennt eng, sou datt eng Filterregel déi fir de LAN-Subnetz geschriwwe gouf ni mat engem Paket iwwerenee kënnt dee mat der Tunneladress erausgeet.

Liest wat d'Sich tatsächlech gewielt huet

Dréckt d'Entscheidung aus amplaz se ze ofleeden. D'Kommand hei drënner léist d'Route op déi de Kernel fir déi Destinatioun benotze géif, inklusiv der Interface an der Quell déi en auswiele géif:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

VPN-Clients installéieren dacks Politikregelen op Prioritéiten ënner der Haapttabell, dofir bewäist eng propper Haapttabell vu sech aus näischt. Vergläicht d'Prioritéite vun de Regele mat den Tabelle vun deenen se wielen, a kontrolléiert ob d'Tunnelroute eng Reconnect iwwerlieft amplaz eemol vun Hand dobäigesat ze ginn.

Politikbaséiert IPsec füügt eng drëtt Ofgläichungsstuf bäi déi d'Routing net deckt, wéi dem strongSwan seng Forwarding-Notizen fir Tunnel- a Transportastellunge beschreiwen. D'Sécherheetspolitik wielt den Traffic no Prefix a Protokoll, wärend d'Route just entscheet wou e ongeschützte Paket géif higoen. En Subnetz dee geroutet gëtt awer kee passende Selekter huet, bleift entweder ongeschützt oder gëtt verkaaft, jee no Konfiguratioun, an keen vun den zwou Resultater gesäit wéi e Firewallproblem aus. Dréckt d'Politik aus a vergläicht hir Selektere mat de Prefixen déi Dir erwaart hutt datt den Tunnel se dréit.

D'Filtere gëllt op engem Haken, net op enger Route

Eng Regel déi de VPN-Lauschterer erlaabt ass eng Regel iwwer Traffic deen un d'Gateway selwer adresséiert ass. Si seet näischt iwwer Clienten déi Hoste hannert där Gateway erreechen, well weidergelueden Traffic duerch eng aner Kette geet. D'Reegelset als eng flaach Lëscht ze liesen ass de gewéinleche Grond firwat eng richteg ausgesinn Regel ni ausgeléist gëtt.

Zieler entscheeden d'Fro séier. Eng Regel mat engem Paketzieler vun null gouf ni erreecht, wat op déi falsch Kette, déi falsch Interface oder en éischten Drop weist. Eng Regel mat engem wuessenden Zieler ënner enger Drop-Politik ass d'Grenz déi Dir gesicht hutt, an de Paket gëtt verkaaft amplaz falsch geroutet.

Schéckt eng Sonde duerch de Wee deen de Client benotzt

Tester déi op der Gateway selwer lafen ginn duerch Output an Input, mat der Gateway hirer eegener Quelladress. Dat ass en anere Wee wéi d'weidergelueden Ufro vun engem Client, dofir bewäist e erfollegräiche lokale curl manner wéi et ausgesäit. Test vun der Maschinn déi feelt, oder pinn d'Interface an d'Quell explizit.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Eng Opnam op béiden Enden trennt déi reschtlech Fäll. En SYN deen de Client verléisst an ni ukënnt bedeit Routing, Verschlësselung oder eng Upstream-Zougrëffslëscht. En SYN deen ukënnt an keng Äntwert kritt bedeit de Service oder säi Hostfilter, an den Tunnel war ni de Problem.

Retour-Traffic verdéngt en eegene Bléck. Asymmetrescht Routing plus Ëmwee-Filtere verkaaft Äntwerten déi op der falscher Interface ukënnen, wat als eenrichtung Verbindung erschéngt amplaz als blockéierte Port. Kontrolléiert de sysctl-Wäert ier Dir dem Firewall d'Schold gitt fir e Symptom dat en net verursaacht huet.

Logging funktionéiert als zweet Meenung, net als éischten Schrëtt. Eng temporär Log-Aussag op der Forward-Kette nennt d'Interface an d'Adressen déi se getraff hunn, an et ass einfach se duerno ewechzehuelen. Loosst se permanent stoen an Dir hutt e Logvolumenproblem amplaz enger Äntwert gebaut.

Setzt all Ännerung do wou se eng Reconnect iwwerlieft

Eng Route déi mat ip route add dobäigesat gouf lieft bis d'Interface erofgeet. Späichert se amplaz am Verbindungsprofil: NetworkManager acceptéiert zousätzlech Routen op der Verbindung, an netplan behält se iwwer Starts. Déi selwecht Regel gëllt fir eng Firewall-Ausnam um Client-Säit, déi no der nächster Neiopladung fort ass.

Regele vun der Serversäit gehéieren an d'Konfiguratiounsdatei déi de Service beim Start lued, net an eng interaktiv Sessioun déi ophält wann Dir se zoumaacht. Schreift d'Regel, lued nei a bestätegt datt den Zieler sech beweegt huet, well eng Neiopladung déi d'Syntax refuséiert huet déi al Reegelset stëll um Platz léisst.

Dono widderhëlt déi ursprénglech Uwendungsofro vum Ufank bis zum Schluss a notéiert wéi eng Schicht sech geännert huet. Eng Routekorrektur déi och eng Filterännerung gebraucht huet wäert nach ëmmer feelen, an deen zweeten Fehler liest sech vill méi einfach wann Dir wësst datt deen éischten fort ass. Notéiert den Datum an d'Clientversioun niewent dem Resultat, well d'Standardwäerter vu Routing a Filtere sech allebéid tëschent Versioune beweegen. Hält déi Notiz um Ticket sou datt déi nächst Person do ufänkt wou Dir opgehalen hutt amplaz deenen zwee-Etappen-Wee ze widderhuelen.