Nächsten Hopp an enger VPN-Route: firwat d'Gateway lokal erreechbar muss sinn

Eng Route an en VPN-Netz dréit zwou Adressen, déi liicht ze verwiesselen sinn: de Präfix vum Zil, dee de Paket versicht z'erreechen, an den nächsten Hopp, deen en ee Schrëtt méi no bréngt. Op engem LAN-Host muss dësen nächsten Hopp e Router sinn, deen Dir tatsächlech um selwechte Link erreecht. D'Remote-VPN-Adress ass keen nächsten Hopp, sou schei si och zum Zil passt, dat Dir am Kapp hutt.

Dëse Runbook deckt de gewéinleche Fall of: e Laptop op 192.168.20.0/24, eng VPN-Gateway mat enger LAN-Adress vun 192.168.20.5 an e Remote-Netz 10.70.0.0/24 hannert dëser Gateway. All Kommandoen hei drënner ginn dovun aus, datt Dir um Laptop sidd, ausser et gëtt anescht gesot.

Zwou Adressen, eng Route

Den intendéierten Agrag ass 10.70.0.0/24 via 192.168.20.5. De Präfix seet, wou de Paket hi geet; d'via-Adress seet, wien en dohi bréngt. De Kernel refuséiert eng Route z'installéieren, där seng Gateway en net iwwer d'Interface erreeche kann, déi Dir nennt, an dëse Refus ass de ganze Punkt: een nächsten Hopp, deen den Tunnel brauch, fir erreechbar ze sinn, kann net deen nächsten Hopp sinn, deen den Tunnel baut.

Dofir ass déi éischt Kontroll net «ass d'Gateway un» mä «ass d'Gateway op dësem Link». D'Laptop säin eegent Subnetz, säin ARP- oder Noper-Agrag an d'Interface an der Route mussen alleguer iwwereneen kommen. Eng Adress, déi nëmmen innerhalb vun 10.70.0.0/24 existéiert, kann d'Zil vun enger zweeter Route sinn, awer ni den via vun der éischter.

Wozu den nächsten Hopp d'Gateway verflicht

D'Route um Laptop z'installéieren entscheet nëmmen déi éischt Iwwergab. Duerno brauch d'Gateway hire eigenen Wee: aktivéiert Viruleedung, eng Tunnelroute fir 10.70.0.0/24 an all Access-Politik, déi reegelt, wien se benotze darf. Op Linux ass dat net.ipv4.ip_forward=1 plus eng Tunnelroute; eng Firewall dovir brauch eng Regel, déi de virugeleete Floss erlaabt.

D'Richtung zréck ass deen Deel, deen d'Leit vergiessen. D'Géigesäit wäit ewech muss eng Route zréck op 192.168.20.0/24 hunn, oder den Design muss d'Quell vum Laptop an eppes iwwersetzen, wat d'Géigesäit kennt. E funktionéierende Ping vun der Gateway beweist, datt d'Gateway d'Remote-Netz erreecht; en seet näischt dozou, ob d'Pakete vum Laptop de Wee zréck iwwerliewen.

Iwwerpréift d'Sich vum Host, dee schéckt

Frot de Kernel, wéi en nächsten Hopp en astelle géif, a liest d'Interface an der Äntwert:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Wann d'Sich d'Gateway an d'LAN-Interface mëttelt, ass den éischten Deel wéi geduecht konfiguréiert. Wann se den Tunnelapparat mëttelt, ass eppes méi fréi an der Tabell méi spezifesch an et gewënnt. Wann d'Route guer net installéiert gëtt, seet de Kernel Iech, datt d'Gateway net erreechbar ass, an déi Meldung ass méi nëtzlech wéi all Paketopnam.

Widderhëlt dann den Test vun der richteger Plaz. Eng Ufro, déi op der Gateway erstallt gëtt, benotzt d'Gateway hir eege Quelladress, wat eng fehlend Zréckroute oder eng Politik, déi nëmmen bestëmmte Quelle erlaabt, verstoppe kann. Den ip-route-Handbuch trennt d'Zil, d'Gateway an d'Iwwerschreiwung onlink, an d'Iwwerschreiwung ass et wäert, se ze verstoen, ier Dir se benotzt.

Benotzt onlink net, fir Erreechbarkeet ze fälschen

onlink seet dem Kernel, d'Erreechbarkeetskontroll fir eng Gateway z'iwwersprangen an trotzdem dohin ze schécken. Et schaaft kee Wee, léist keen ARP fir eng Adress, déi net do ass, an et mécht keen Remote-Router op Ärem Ethernet-Segment äntweren. Et ass legitim fir Gatewayen, déi äntweren, awer net an engem verbonnenen Subnetz sëtzen, an et ass eng Falle wann et benotzt gëtt, fir e Feeler ze beschwichtegen, deen Dir net erkläert hutt.

Wann d'Route nëmmen mat onlink installéiert gëtt, ass déi nächst Fro, firwat d'Gateway net do ass, wou Dir mengt. Eng falsch VLAN, eng zweet Adress op der falscher Interface oder en Tippfeeler am leschten Oktett produzéieren dat alleguer, an all eenzel dovun ënnerbrécht och de Wee zréck, soubal den Traffic ufänkt ze fléissen.

Punkt-zu-Punkt-Tunnelen sinn keen Ethernet

En Tunnelapparat mécht keen ARP an huet dacks kee sënnvoll Subnetz vu Noperen. Seng Route gesinn dacks aus wéi 10.70.0.0/24 dev tun0, guer ouni via, well de Peer deen eenzegen aneren Endpunkt ass. Eng via am LAN-Stil an déi Tabell ze kopéieren, produzéiert eng Route, déi de Kernel refuséiere kann oder, nach méi schlëmm, eng déi op eng Adress weist, op déi de Peer ni äntwert.

Halt déi zwou Modeller am Runbook getrennt: eng LAN-Route huet eng erreechbar Gateway, eng Tunnelroute huet eng Interface an e Peer. WireGuard, OpenVPN an IPsec weisen alleguer liicht aner Formen, dofir notéiert d'Form, déi Dir tatsächlech benotzt hutt, amplaz vun engem Host ze generaliséieren.

Dobäisetzen, bestätegen, zréckrullen

Déi ganz Ännerung sinn dräi Kommandoen an eng Kontroll, an et sollt an där Reihenfolg opgeschriwwe ginn:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Bestätegt de Wee, bestätegt een Zil, an haalt dann d'Läschzeil bereet, falls d'Ännerung den Host op eng Manéier onerreechbar mécht, déi Dir net virgesinn hutt. Wann d'Route en Neistart iwwerliewen muss, setzt se an d'Netzwierkkonfiguratioun vum Host an net an e Shell-Profil, an testt den Neistart ier Dir Iech drop verloosst. Eng Route, déi nëmmen an der Shell existéiert, déi se dobäigesat huet, ass eng Route, déi Dir zweemol debuggë wäert.