VPN портата бара IP проследување: што да проверите

Вашиот клиент може да пинга на адресата на портата додека сите ресурси зад неа остануваат недостапни. Овие две набљудувања опишуваат домаќин што разговара со вас и рутер што не рутира, а тоа се различни улоги на истата машина. Проследувањето е прекинувачот меѓу нив.

Двете улоги се независни, како и двете семејства адреси.

Одговорот на сопствената адреса не докажува ништо

Кога пакетот е адресиран до самата порта, локалниот стек го троши и не се донесува одлука за проследување. Затоа успешен ping до адресата на тунелот или до административен интерфејс ви кажува дека демонот е жив и тунелот е кренат, но не кажува ништо за сообраќајот наменет за мрежа зад кутијата. Јадрото ја проверува својата патека за проследување само за пакети што не се адресирани до него.

Читајте го барањето како улога, а не како поставка: овој домаќин мора да пренесува пакети меѓу два интерфејси. Преносно сметач што треба само да стигне до оддалечена мрежа никогаш не ја презема таа улога, а крајна точка од локација до локација секогаш ја презема. Таквото читање на барањето објаснува зошто работна клиентска конфигурација не успева кога ќе се премести на порта.

Истото важи за огнениот ѕид пред одлуката за проследување, кој има сопствена политика за тоа што смее да се проследи.

Проверете го секое семејство адреси одделно

IPv4 проследувањето е еден прекинувач, а IPv6 проследувањето е друг со сопствено однесување по интерфејс. Вклучувањето на првиот не кажува ништо за вториот, а клиент со двоен стек може да стигне до половина мрежа додека остатокот останува темен. Затоа два клиенти од различни семејства може да не се согласат за истата порта. Прашајте кое семејство го користел клиентот што не успева пред да промените која било поставка. Потврдете ги двете пред да заклучите дека дизајнот на рутирање е погрешен.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

На многу дистрибуции вредноста што ја читате при извршување таму ја поставила служба или конфигурациска датотека, така што промена направена со еднократна команда може да исчезне при рестартирање. Најдете ја датотеката што ја поседува поставката пред да ја промените вредноста при извршување.

Проследувањето е едно од четирите барања

Работниот проследен тек бара четири работи истовремено: клиентот мора да знае дека целта е зад тунелот, портата мора да има пат напред, одговорите мора да имаат пат назад, а огнениот ѕид мора да го дозволи сообраќајот. Преводот на изворот припаѓа на тој дизајн како опција, а не како правило, бидејќи приватна рутирана мрежа со симетрични патишта не го бара, а асиметричната обично го бара. Секое од четирите не успева независно, затоа поправката на едно ретко го поместува симптомот. Запишете ги сите четири пред да промените кое било од нив.

Облачните платформи додаваат петто размислување. Некои на примероците наметнуваат проверки на изворот и целта, што ги отфрла проследените пакети без оглед на тоа како е конфигурирано јадрото на гостинот. Таму авторитет е сопствената мрежна документација на платформата, а не излезот од sysctl во VM.

Тестирајте од клиентот, не од портата

Тестот пуштен во сопствената школка на портата не поминува низ ниту еден дел од патеката за проследување што штотуку ја овозможивте. Генерирајте го сообраќајот од клиентот што има проблем и потврдете дека стигнува до нешто зад портата, а не до самата порта. Тоа е единствениот тест што ја вежба улогата што ја сменивте.

Држете ги правилата за слушање и правилата за проследување одделени во главата и во записот за промени. Отворањето на VPN портата ги пушта клиентите во службата; тоа не им дава ништо на мрежата зад неа, и двете изгледаат исто во список на огнен ѕид што растел со години.

Ако пакетите пристигнат, а службата потоа го одбие корисникот, веќе сте ја надминале мрежата. Продолжете со авторизација на апликацијата наместо повторно да ја проширувате политиката за проследување.