LAN klienti ignorē maršrutētāja VPN, līdz tiek ieslēgta politikas maršrutēšana

Maršrutētājs sasniedz internetu pa savu tuneli, kamēr klēpjdators aiz tā joprojām ziņo ISP adresi. Pieņemšanas noteikumu pievienošana nepalīdz, un šī neveiksme ir mācoša: filtrēšana atbild, vai paketei drīkst ļaut iet cauri, nevis kurp tā iet. Saskarnes izvēli jau ir izdarījusi maršruta meklēšana, kas neko nezina par jūsu klientu sarakstu. Izlabojiet meklēšanu, un ugunsmūris vairs nav aizdomās turamais.

Filtra noteikums nevar izvēlēties saskarni

Pakešu plūsma Linux maršrutētājā vispirms izpilda maršruta lēmumu un pēc tam forward āķi. Kad noteikums atbilst izejošajai tuneļa ierīcei, kodols jau ir nolēmis, ka tunelis ir izeja. Ja galvenā tabula joprojām dod priekšroku WAN noklusējuma maršrutam, pakete dodas pie ISP, un tikko uzrakstītais pieņemšanas noteikums to nekad neredz. Šis viens secības fakts izskaidro, kāpēc lapa ar jauniem ugunsmūra noteikumiem neko nemaina.

Tālāk esošajā piemērā tiek izmantots LAN 192.168.8.0/24 uz br-lan, tuneļa ierīce tun0 un viena set-top box ierīce 192.168.8.23, kurai vajadzētu iet pa tuneli.

Izlasiet meklēšanu pirms noteikumu rediģēšanas

Palūdziet kodolam atrisināt maršrutu šī klienta vārdā. Atbildē ir izejošā ierīce un avota adrese, kas tiktu izvēlēta, un ar to pietiek diagnozes apstiprināšanai. Ja atbildē nosaukta WAN ierīce, paketei nekad nebija iespējas sasniegt jūsu noteikumu.

ip -4 route get 198.51.100.7 from 192.168.8.23

Atkārtojiet vaicājumu klientam, kuram vajadzētu palikt parastajā ceļā. Kad abas atbildes nosauc vienu un to pašu ierīci, avota politika vēl nedarbojas, un labojums pieder maršrutēšanai, nevis filtrēšanai.

Pievienojiet tabulu klientiem, kurus vēlaties aptvert

Politikas maršrutēšana ievieto noteikumu meklēšanu pirms galvenās tabulas. Izveidojiet tabulu, kuras noklusējuma maršruts ir tunelis, pēc tam piesaistiet to selektoram: ievades saskarnei, avota adresei vai ugunsmūra atzīmei. Prioritātes nosaka secību, un galvenā tabula atrodas ļoti zemu sarakstā, 32766, tāpēc noteikums ar mazu numuru tiek pārbaudīts pirmais. Saskarnes selektori aptver katru klientu uz tilta; adreses selektori aptver vienu mašīnu.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Programmaparatūras saskarnes parasti parāda tos pašus objektus kā politikas maršrutēšanas vai VPN politikas lapa. Ierīču saraksts tur ir vieglāk uzturams nekā ar roku rakstīti noteikumi un parasti pārdzīvo atjauninājumus, kas maina noteikumu sintaksi.

Izvēlieties selektoru apzināti. Saskarnes noteikums ir īss un nākotnei noturīgs, taču tas arī uztver paša maršrutētāja pārvaldības trafiku, kas pienāk uz šo tiltu. Avota noteikums ir precīzs un prasa rediģēšanu ikreiz, kad mainās ierīču saraksts. Pierakstiet izvēli, jo tā būs vajadzīga nākamajam cilvēkam, kurš jautās, kāpēc viena ierīce uzvedas citādi.

Turiet vietējos galamērķus ārpus tuneļa

Jauna tabula zina tikai tos maršrutus, ko tajā ievietojat. LAN prefiksa trūkst, tāpēc printera un NAS trafiks sekotu tuneļa noklusējuma maršrutam un pazustu. Throw maršruts beidz meklēšanu šajā tabulā un atdod lēmumu galvenajai tabulai.

ip -4 route add throw 192.168.8.0/24 table 200

Izlaidiet šo maršrutu, un vietējie koplietojumi salūzt, un paša maršrutētāja pārvaldības sesija var pazust, ja selektors ir plašāks nekā paredzēts. Pēc tam atrisiniet avota jautājumu: tuneļa paketēm, kas joprojām nes LAN adreses, vajadzīgs, lai tālā puse zinātu atgriešanās ceļu, savukārt masquerading uz tuneļa noņem šo prasību un noņem arī klienta identitāti, ko tālā puse redzētu.

Izpildes laikā pievienotie noteikumi un maršruti pazūd pēc pārstartēšanas vai programmaparatūras atjauninājuma. Pievienojiet tos maršrutētāja palaišanas mehānismam, pārstartējiet vienu reizi un pārbaudiet vēlreiz no klienta: tā publisko adresi, otru klientu, kam jāpaliek WAN, un tuneļa skaitītājus jauna savienojuma laikā.