Tiltā savienotiem OpenVPN klientiem nav interneta? Pārbaudiet NAT noteikumu

Tiltā savienotais serveris darbojas, masquerade noteikums ir vietā, un pārlūks klientā joprojām griežas. Viss izskatās tā, it kā tam būtu jāstrādā, tāpēc pirmā stunda aiziet tuneļa un akreditācijas datu pārbaudei. Tad jūs nolasāt NAT noteikuma skaitītāju un atrodat nulli, kas nav kustējusies. Noteikums, kas nekad nav saskaitījis nevienu paketi, nekad arī nav to notvēris, un tiltā savienotā serverī iemesls ir strukturāls: klienta trafiks iziet caur virtuālo tap ierīci, bet noteikums nosauc fizisko karti, ko nokopējāt no vecākas pamācības.

Skaitītājs ir pierādījums, nevis ieraksts tabulā

Esoši noteikumi un sakrītoši noteikumi ir dažādas lietas, un tieši skaitītājs tos šķir. Izvadiet NAT tabulu ar detalizētiem skaitītājiem un nolasiet skaitļus pie katra noteikuma, pirms kaut ko maināt. Skaitītājs, kas apstājies uz nulles, kamēr trafiks plūst, nozīmē, ka noteikums tika izlaists, lai cik saprātīgas izskatītos tā adreses. Skaitītājs, kas kāpj, kamēr savienojums joprojām neizdodas, sūta jūs citur: pāradresācijā, atgriešanās ceļā vai tālākajā galā.

iptables -t nat -L POSTROUTING -v -n

Vispirms nolasiet skaitītāju pie saskarnes atbilstības. Ja avota diapazons ir pareizs un izejas puse ir nepareiza, labojums ir viens vārds noteikumā, nevis pilnīgi jauns noteikums.

Atrodiet nosaukumu, ko kodols faktiski ieraksta

Pirms noteikuma rakstīšanas nosakiet tuneļa ierīces nosaukumu, izmantojot saskarņu sarakstu, nevis atmiņu. Tiltā savienotā OpenVPN konfigurācijā ierīce parasti ir servera izveidota tap saskarne, un tās nosaukums ir jūsu vietējās konfigurācijas daļa, nevis universāla konstante. Pārliecinieties, ka tā pastāv, kamēr tunelis ir aktīvs, jo ierīce, kas parādās tikai pēc klienta pievienošanās, iepriekšējo testu padarīs līdzīgu noteikuma problēmai.

ip -brief link

Pierakstiet nosaukumu. Katra vēlākā komanda šajā diagnostikā uz to atsaucas, un drukas kļūda šeit rada tieši tādu pašu nulles skaitītāju kā sākotnējā kļūda.

Pārrakstiet noteikumu pret tuneļa ierīci

Pavērsiet noteikumu uz tuneļa ierīci un paturiet klientu diapazonu kā atbilstības nosacījumu, lai tas aptvertu tuneļa trafiku un atstātu paša resursdatora savienojumus neskartus. Aizstājiet ar savu diapazonu un ierīces nosaukumu, jo abi zemāk ir piemēri un neviens nav pārnesams starp instalācijām.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Pēc tam pārbaudiet divus citus nosacījumus, ko slēpj tas pats simptoms. Pārbaudiet, vai pāradresācija ir iespējota, un, ja nav, iespējojiet to pašas distribūcijas konfigurācijā, nevis ar echo, kas pazūd pēc pārstartēšanas. Nolasiet arī forward ķēdes skaitītājus un, ja tā nomet tuneļa trafiku, atļaujiet tieši šo saskarni un atstājiet ķēdes politiku nemainītu.

Forward ķēdes nolasīšana ar skaitītājiem aizņem vienu komandu un izslēdz pusi atlikušo iespēju, pirms vēl esat aizticis citu noteikumu.

Kāpēc fiziskā karte nekad nesakrīt

Tilts ir programmatūras komutators, kas salikts no tap ierīces un vienas fiziskās saskarnes. Klienta kadrs ieiet šajā komutatorā un iziet pretī fiziskajam tīklam kā tilta dalībnieks, nevis kā pakete uz kartes. Tāpēc kodols attiecina paketi uz tiltu un tā portu, un tāpēc karte, par ko domājāt, nekad neparādās atbilstībā. Ar fizisko saskarni nekas nav sabojāts; tā vienkārši nav ierīce, kam kodols attiecina šo paketi.

Nākamā problēma, ar ko cilvēki saskaras, izriet no tās pašas struktūras: kadru filtrēšana uz tilta ir atsevišķa iekārta no IP filtrēšanas. Ja nepieciešams ierobežojums kadru līmenī, tas pieder tilta filtrēšanai, nevis IP tabulas noteikumam.

Pierādiet to no sākuma līdz beigām, tad saglabājiet

Palaidiet vienu klientu un nopingējiet kaut ko servera LAN tīklā; šis ceļš izmanto pāradresāciju bez jebkādas tulkošanas. Pēc tam pieprasiet kaut ko publisku, lai masquerade noteikums būtu jāizmanto, un vēlreiz nolasiet skaitītāju: tam jākustas šim testam, nevis iepriekšējam. Uz tuneļa ierīces uzņemts tīkla ieraksts parāda gan to, kur kadrs parādās, gan to, kādu adresi tas nes.

Pēdējais solis: ievietojiet strādājošos noteikumus konfigurācijā, ko nolasa restartēšana, un pierakstiet ierīces nosaukumu, ko šī resursdatora tilts faktiski izmanto. Viss, kas ievadīts ar roku, pazūd pēc pārstartēšanas, un tā pati kļūme atgriežas bez nekā, kas to izskaidrotu.

Ja pēc pārrakstīšanas skaitītājs joprojām nekustas, salīdziniet noteikuma avota diapazonu ar adresi, ko klients faktiski saņēma, jo tiltā savienots serveris var izdalīt adreses no diapazona, ko neplānojāt.