OpenVPN LAN piekļuve salūzusi? Pārbaudiet zonas, maršrutus un atgriešanās ceļu

Tunelis ziņo par veiksmīgu savienojumu, paša maršrutētāja lapa ielādējas, bet diska kartēšana uz mašīnu aiz tā joprojām beidzas ar taimautu. Šajā kombinācijā nav nekā pretrunīga: maršrutētājs atbild kā viņš pats, un kaut kā aiz tā sasniegšana ir cits lēmums, kas pieņemts citā vietā. Veiciet zemāk minētās pārbaudes pēc kārtas un apstājieties pie pirmās kļūmes, jo katra balstās uz iepriekšējo. Kad visas četras iztur, kļūda ir virs tuneļa, nevis tajā.

Kurš filtrs redz uz LAN ejošu paketi

Maršrutētājam adresēta pakete tiek patērēta lokāli; pakete, kas adresēta aiz tā esošajai ierīcei, ir jāpārsūta, un ugunsmūri šos divus gadījumus vērtē atsevišķi. Tāpēc atļauja sasniegt maršrutētāju neko nepasaka par atļauju to šķērsot. Aparātprogrammatūra, kas slēpj savus noteikumu kopumus, tomēr ievieš abus, parasti kā atlasītāju, kas piedāvā LAN, internetu vai abus. Ja atlasītājs izlaiž LAN, neviens vēlāks pārbaudījums vairs nav svarīgs.

OpenWrt padara šo sadalījumu pārbaudāmu, un atšķirība ir viena lasīšanas vērta. Zonai, kas pabeidz tuneli, nepieciešams pārsūtīšanas noteikums uz LAN zonu, savukārt ievades noteikums pārvalda tikai pakalpojumus pašā maršrutētājā. Strādājoša pārvaldības lapa blakus mirušam LAN ir ierastais tā trūkstošā pārsūtīšanas noteikuma rezultāts.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Apskatiet tuneļa nesošās zonas pārsūtīšanas mērķi: accept ir tas, kas vajadzīgs kāpnēm, un reject izskaidro katru taimautu zemāk. Divi blakus iestatījumi rada to pašu simptomu, tāpēc izslēdziet tos, kamēr esat šeit. Bezvadu izolācija slēpj vadu ierīces no bezvadu klientiem, un maršrutētājs, kas dīkstāvē esošas LAN ierīces uzskata par bezsaistē, var nomest atbildes pat pēc tam, kad pārsūtīšana darbojas.

Kāpēc sadalītam tunelim vajadzīgs aizsūtītais prefikss

Klients, kas visu satiksmi sūta caur tuneli, jau pārvalda LAN prefiksu, izmantojot savu noklusējuma maršrutu, tāpēc nekas nav jāpievieno. Sadalīts tunelis ir gadījums, kad prefikss jānorāda skaidri, jo nekas cits konfigurācijā to nemin. Pievienojiet direktīvu servera konfigurācijai un pārlādējiet pakalpojumu.

push "route 192.168.50.0 255.255.255.0"

Profili, kas satur route-nopull ignorē aizsūtītos maršrutus, tāpēc tas pats prefikss pieder klienta failam. Jebkurā gadījumā apstipriniet, ka ieraksts ir ieradies, nevis pieņemiet to, jo klusa aizstāšana izskatās tieši tāpat kā ugunsmūra problēma.

ip route show | grep 192.168.50

Vietnes-vietnes partneris prasa vairāk nekā aizsūtīšanu. Serverim jāuzzina, kādi prefiksi atrodas aiz šī partnera, ko dara rinda iroute tā client-config-dir failā, un tā paša tabulai vajadzīgs atbilstošs maršruts tunelī.

Atbildei vajadzīga adrese, kuru tā var sasniegt

Pieprasījuma pārsūtīšana ir tikai puse no apmaiņas, jo LAN ierīcei ir jāatbild uz adresi tuneļa kopfondā. Mazie maršrutētāji to parasti sakārto tulkojot avotu tuneļa zonā, tāpēc atbilde ir adresēta maršrutētājam un nekur citur nav vajadzīga konfigurācija. Noņemiet šo tulkošanu, un ierīcei būs vajadzīgs savs maršruts uz kopfondu, ko tā iegūst bez maksas, ja maršrutētājs ir tās noklusējuma vārteja. Ierīce ar manuāli iestatītu adresi un citu vārteju atbild caur šo vārteju, un klients redz, kā sesija atveras un pēc tam apstājas.

tcpdump -ni tun0 host 192.168.50.20

Palaidiet to maršrutētājā, kamēr klients atkārto pieprasījumu, un lasiet atbildes galamērķi, nevis pašu pieprasījumu. Atbilde, kas adresēta kopfondam, nozīmē, ka atgriešanās ceļš darbojas un kļūda ir dziļāk. Pilnīgs atbildes trūkums nozīmē, ka ierīce nekad nav pieņēmusi paketi, kas jūs atgriež pie noteikumu kopuma.

Kāpnes, kas beidzas īstajā vietā

Četras pārbaudes nosaka slāni, un katra ir viena komanda, nevis spriedums. Palaidiet tās pēc kārtas un apstājieties pie pirmās kļūmes. Secība ir svarīgāka par komandām, jo vēlāks sekmīgs solis slēpj iemeslu, kāpēc iepriekšējais neizdevās.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Nosaukumi pieder kāpņu beigām, nekad sākumam. Koplietojums, kas atbild kā 192.168.50.20, bet ne kā nas.local, norāda uz nosaukumu atrisināšanu vai meklēšanas sufiksi, un ugunsmūra labojumi nevar mainīt ne vienu, ne otru.

Pierakstiet pirmo neizdevušos soli, tad piešķiriet pakalpojumu portiem savu gājienu, jo klausītājs un ierīces atļauja ir atsevišķas prasības. Failu koplietošana, attālinātā darbvirsma un kameru straumes prasa abus, un ierīces ugunsmūris, kas uzticas LAN apakštīklam, bet ne tuneļa kopfondam, nomet klientu, kamēr ping joprojām izdodas. Kad visas pārbaudes iztur, bet lietotne joprojām neizdodas, kļūda ir virs tuneļa: pakalpojums, kas piesaistīts vienai saskarnei, vai starpniekserveris, kas konfigurēts klientā.