LAN klientai nepaiso maršrutizatoriaus VPN, kol neįjungiamas politikos maršrutizavimas

Maršrutizatorius pasiekia internetą savo tuneliu, o už jo esantis nešiojamasis kompiuteris vis dar praneša ISP adresą. Priėmimo taisyklių pridėjimas nepadeda, ir ši nesėkmė yra pamokanti: filtravimas atsako, ar paketui leidžiama praeiti, o ne kur jis keliauja. Sąsajos pasirinkimą jau atliko maršruto paieška, kuri nieko nežino apie jūsų klientų sąrašą. Ištaisykite paiešką, ir ugniasienė nebebus įtariamasis.

Filtro taisyklė negali pasirinkti sąsajos

Paketų srautas Linux maršrutizatoriuje pirmiausia atlieka maršruto sprendimą, o po to – forward kablį. Kai taisyklė sutampa su išeinančiu tunelio įrenginiu, branduolys jau nusprendė, kad tunelis yra išėjimas. Jei pagrindinė lentelė vis dar teikia pirmenybę WAN numatytajam maršrutui, paketas keliauja pas ISP, ir ką tik parašyta priėmimo taisyklė jo niekada nemato. Šis vienas eiliškumo faktas paaiškina, kodėl puslapis naujų ugniasienės taisyklių nieko nekeičia.

Toliau pateiktame pavyzdyje naudojamas 192.168.8.0/24 LAN tinkle br-lan, tunelio įrenginys tun0 ir vienas set-top box adresu 192.168.8.23, kuris turėtų eiti per tunelį.

Perskaitykite paiešką prieš redaguodami taisykles

Paprašykite branduolio išspręsti maršrutą to kliento vardu. Atsakyme nurodomas išeinantis įrenginys ir būtų pasirinktas šaltinio adresas, ir to pakanka diagnozei patvirtinti. Jei atsakyme nurodytas WAN įrenginys, paketas niekada neturėjo šanso pasiekti jūsų taisyklės.

ip -4 route get 198.51.100.7 from 192.168.8.23

Pakartokite užklausą klientui, kuris turėtų likti įprastame kelyje. Kai abu atsakymai nurodo tą patį įrenginį, šaltinio politika dar neveikia, o taisymas priklauso maršrutizavimui, o ne filtravimui.

Prijunkite lentelę prie klientų, kuriuos norite apimti

Politikos maršrutizavimas įterpia taisyklių paiešką prieš pagrindinę lentelę. Sukurkite lentelę, kurios numatytasis maršrutas yra tunelis, tada prijunkite ją prie selektoriaus: įvesties sąsajos, šaltinio adreso arba ugniasienės žymos. Prioritetai nustato tvarką, o pagrindinė lentelė yra labai žemai sąraše, 32766, todėl mažo numerio taisyklė tikrinama pirmiausia. Sąsajos selektoriai apima kiekvieną tiltelio klientą; adreso selektoriai apima vieną mašiną.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Programinės aparatinės įrangos sąsajos paprastai rodo tuos pačius objektus kaip politikos maršrutizavimo ar VPN politikos puslapis. Įrenginių sąrašas ten yra lengviau prižiūrimas nei ranka rašytos taisyklės ir paprastai išlieka po atnaujinimų, kurie keičia taisyklių sintaksę.

Pasirinkite selektorių sąmoningai. Sąsajos taisyklė trumpa ir atspari ateičiai, bet ji taip pat pagauna paties maršrutizatoriaus valdymo srautą, atkeliaujantį į tą tiltelį. Šaltinio taisyklė yra tiksli ir reikalauja redagavimo kiekvieną kartą, kai keičiasi įrenginių sąrašas. Užrašykite pasirinkimą, nes jo prireiks kitam žmogui, kuris paklaus, kodėl vienas įrenginys elgiasi kitaip.

Laikykite vietinius tikslus už tunelio ribų

Nauja lentelė žino tik tuos maršrutus, kuriuos į ją įdedate. LAN priešdėlio trūksta, todėl spausdintuvo ir NAS srautas eitų tunelio numatytuoju maršrutu ir dingtų. Throw maršrutas baigia paiešką šioje lentelėje ir grąžina sprendimą pagrindinei lentelei.

ip -4 route add throw 192.168.8.0/24 table 200

Praleiskite tą maršrutą ir vietiniai bendriniai ištekliai sugenda, o paties maršrutizatoriaus valdymo sesija gali dingti, jei selektorius platesnis nei numatyta. Tada išspręskite šaltinio klausimą: tunelio paketams, kurie vis dar turi LAN adresus, reikia, kad tolimoji pusė žinotų grįžtamąjį kelią, o masquerading tunelyje pašalina šį reikalavimą ir taip pat pašalina kliento tapatybę, kurią tolimoji pusė matytų.

Vykdymo metu pridėtos taisyklės ir maršrutai dingsta po perkrovimo ar programinės aparatinės įrangos atnaujinimo. Pridėkite juos prie maršrutizatoriaus paleidimo mechanizmo, kartą perkraukite ir iš naujo patikrinkite iš kliento: jo viešąjį adresą, antrą klientą, kuris turėtų likti WAN, ir tunelio skaitiklius naujo ryšio metu.