ടണൽ മുകളിലുണ്ട്, ഇന്റർനെറ്റ് ഇല്ല: ഫോർവേഡിംഗ് എവിടെ നിലയ്ക്കുന്നു

ക്ലയന്റ് ബന്ധിപ്പിക്കുന്നു, ടണൽ പിംഗുകൾ ഗേറ്റ്‌വേയിലേക്ക് കൊണ്ടുപോകുന്നു, അതിനപ്പുറം ഒന്നും മറുപടി നൽകുന്നില്ല. ഈ അവസ്ഥ എപ്പോഴും സംരക്ഷിത നെറ്റ്‌വർക്കുകളിലേക്ക് പ്രവേശനം നൽകാൻ മാത്രം ഉദ്ദേശിച്ച ഗേറ്റ്‌വേയ്ക്ക് സാധാരണമാണ്, പൂർണ്ണ-ടണൽ പുറത്തേക്കുള്ള വഴിയായി പരസ്യപ്പെടുത്തിയ ഗേറ്റ്‌വേയ്ക്ക് ഇത് തകരാറാണ്. നിയമങ്ങൾ മാറ്റുന്നതിന് മുമ്പ് ഏത് സേവനമാണ് വാഗ്ദാനം ചെയ്തതെന്ന് ഉറപ്പാക്കുക. തുടർന്ന് ഒരു പൊതു അഭ്യർത്ഥന അത് നിലയ്ക്കാവുന്ന നാല് സ്ഥലങ്ങളിലൂടെ പിന്തുടരുക. ഒരു അഭ്യർത്ഥനയും ഒരു പാക്കറ്റ് ക്യാപ്ചറും ഒരു പേജ് ഊഹങ്ങളെക്കാൾ കൂടുതൽ തീരുമാനിക്കുന്നു.

ഇന്റർനെറ്റ് പുറത്തേക്കുള്ള വഴി ഒരിക്കലും രൂപകൽപ്പനയായിരുന്നോ എന്ന് ഉറപ്പാക്കുക

സ്പ്ലിറ്റ്-ടണൽ പ്രൊഫൈൽ സംരക്ഷിത സബ്‌നെറ്റുകൾ മാത്രം VPN-ലേക്ക് അയയ്ക്കുന്നു, അതിനാൽ പൊതു ബ്രൗസിംഗ് പ്രാദേശിക ലിങ്കിലൂടെ തുടരുന്നു, ഗേറ്റ്‌വേയെ ഒരിക്കലും തൊടുന്നില്ല. പൂർണ്ണ-ടണൽ പ്രൊഫൈൽ ടണലിൽ ഡിഫോൾട്ട് റൂട്ട് ഇൻസ്റ്റാൾ ചെയ്യുന്നു, ഇത് ഗേറ്റ്‌വേയെ മുഴുവൻ പാതയ്ക്കും ഉത്തരവാദിയാക്കുന്നു. രണ്ടും സാധുവായ രൂപകൽപ്പനകളാണ്, അവ കൂട്ടിക്കലർത്തുന്നത് തകരാറില്ലാത്തിടത്ത് തകരാർ റിപ്പോർട്ട് ഉണ്ടാക്കുന്നു. മറ്റെന്തെങ്കിലും പരിശോധിക്കുന്നതിന് മുമ്പ് ക്ലയന്റ് പ്രഖ്യാപിച്ച റൂട്ടുകൾ വായിക്കുക, കാരണം റൂട്ട് പട്ടിക ടിക്കറ്റ് സാധാരണയായി തെറ്റായി ചോദിക്കുന്ന ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു.

ക്ലയന്റ് ഇൻസ്റ്റാൾ ചെയ്യുന്നത് എപ്പോഴും പ്രൊഫൈൽ ഉദ്ദേശിക്കുന്നതല്ല. തള്ളിയ റൂട്ടിനെ കുറഞ്ഞ മെട്രിക് ഉള്ള പ്രാദേശിക റൂട്ട് മറികടക്കാം, തന്റെ LAN റൂട്ട് നിലനിർത്തി ഡിഫോൾട്ട് റൂട്ട് ചേർക്കുന്ന ക്ലയന്റ് ആ സബ്‌നെറ്റിന് സ്പ്ലിറ്റ്-ടണൽ പോലെ പെരുമാറുന്നു.

ഒരു പൊതു അഭ്യർത്ഥന പിന്തുടരുക

ഒരു ലക്ഷ്യം തിരഞ്ഞെടുത്ത് അത് ക്ലയന്റിൽ നിന്ന് പുറത്തേക്ക് ട്രേസ് ചെയ്യുക. ക്ലയന്റിൽ പാക്കറ്റ് യഥാർത്ഥത്തിൽ ടണൽ തിരഞ്ഞെടുക്കുന്നുണ്ടോ, ഏത് പ്രാദേശിക വിലാസമാണ് ഉറവിടമായി ഉപയോഗിക്കുന്നതെന്ന് പരിശോധിക്കുക. തുടർന്ന് ഗേറ്റ്‌വേ പരിശോധിക്കുക: പാക്കറ്റ് വരുന്നുണ്ടോ, പൊതു ഇന്റർഫേസിൽ നിന്ന് പുറത്തുപോകുന്നുണ്ടോ. ഈ മറുപടികളിൽ ഓരോന്നും ഒരു മുഴുവൻ കാരണ വിഭാഗം നീക്കം ചെയ്യുന്നു.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

ഗേറ്റ്‌വേ പാക്കറ്റ് ഒരിക്കലും കാണുന്നില്ലെങ്കിൽ, ക്ലയന്റ് റൂട്ട് അല്ലെങ്കിൽ ടണൽ തിരഞ്ഞെടുപ്പ് തെറ്റാണ്. പാക്കറ്റ് വന്ന് പുറത്തുപോകുന്നില്ലെങ്കിൽ, പ്രശ്നം ഗേറ്റ്‌വേയിലാണ്, ബാക്കി മൂന്ന് പരിശോധനകൾ ബാധകമാണ്.

ഫോർവേഡിംഗ്, റൂട്ട്, വിവർത്തനം എന്നിവ പരിശോധിക്കുക

strongSwan-നൊപ്പം വരുന്ന ഫോർവേഡിംഗ് ഗൈഡ് ഏത് ടണൽ തരത്തിന്റെയും ഗേറ്റ്‌വേയ്ക്ക് ബാധകമാണ്: കെർണലിന് ഇന്റർഫേസുകൾക്കിടയിൽ പാക്കറ്റുകൾ നീക്കാൻ അനുമതി നൽകണം, ഉപയോഗയോഗ്യമായ റൂട്ട് ഇന്റർനെറ്റിലേക്ക് ചൂണ്ടണം. തുടർന്ന് ഫയർവാൾ നയം ട്രാഫിക്ക് അനുവദിക്കണം, ഉറവിട വിലാസം പൊതു വശത്തിന് മറുപടി നൽകാവുന്നതായിരിക്കണം. സ്വകാര്യ ക്ലയന്റ് വിലാസം മാറ്റമില്ലാതെ ഇന്റർനെറ്റിലേക്ക് ഫോർവേഡ് ചെയ്താൽ ഒരിക്കലും മറുപടി ലഭിക്കുന്നില്ല.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

ഉറവിട വിവർത്തനം ആണ് സാധാരണയായി കാണാത്ത ഭാഗം. അതിലൂടെ ഗേറ്റ്‌വേ ക്ലയന്റിന്റെ ഉറവിടം തന്റെ പൊതു വിലാസത്തിലേക്ക് വീണ്ടും എഴുതി പ്രവാഹം പിന്തുടരുന്നു; അതില്ലാതെ മറുപടിക്ക് പോകാൻ ഇടമില്ല. ക്ലൗഡ് പ്ലാറ്റ്‌ഫോമുകൾ രണ്ടാം അതിർത്തി ചേർക്കുന്നു, അവിടെ ഇൻസ്റ്റൻസിന്റെ റൂട്ട് പട്ടിക അല്ലെങ്കിൽ സുരക്ഷാ ഗ്രൂപ്പ് അതിഥി ഫയർവാൾ അനുവദിക്കുന്ന ട്രാഫിക്ക് ഉപേക്ഷിക്കാം. ഈ അതിർത്തി വിട്ടുപോകാൻ എളുപ്പമാണ്, കാരണം അതിഥി സിസ്റ്റം അകത്തുനിന്ന് ശരിയായി ക്രമീകരിച്ചതായി തോന്നുന്നു.

അസമമായ ക്രമീകരണത്തിൽ റിവേഴ്സ്-പാത്ത് ഫിൽട്ടറിംഗും സാധുവായ പാക്കറ്റുകൾ ഉപേക്ഷിക്കാം. ആ നിയമത്തിന്റെ കൗണ്ടർ വായിക്കുക, എല്ലാം കൊള്ളാമെന്ന് കരുതുന്നതിന് പകരം, കാരണം പൊതു ഇന്റർഫേസിലെ കർശന ക്രമീകരണം റൂട്ട് പട്ടിക പ്രവചിച്ചതിൽ നിന്ന് വ്യത്യസ്ത പാതയിലൂടെ വരുന്ന ട്രാഫിക്ക് നിരസിക്കുന്നു.

മറുപടി പാതയും റിസോൾവറും രണ്ട് വ്യത്യസ്ത മറുപടികളാണ്

അഭ്യർത്ഥന മാത്രമല്ല, മറുപടിയും ശ്രദ്ധിക്കുക. അഭ്യർത്ഥന വിവർത്തനം ചെയ്ത് പുറത്തുപോയി മറുപടി വിവർത്തനം ചെയ്ത പ്രവാഹത്തിലേക്ക് തിരികെ വന്നാൽ, ആപ്ലിക്കേഷൻ ഇപ്പോഴും പരാജയപ്പെട്ടാലും ഫോർവേഡിംഗ് പ്രവർത്തിക്കുന്നു, അടുത്ത അന്വേഷണം ആപ്ലിക്കേഷന്റെയോ DNS-ന്റെയോ ആണ്.

HTTP പിശക് തിരികെ നൽകുന്ന സൈറ്റ് ഇന്റർനെറ്റിലേക്ക് ഫോർവേഡിംഗ് പ്രവർത്തിക്കുന്നു എന്നതിന്റെ തെളിവാണ്. വിലാസം വഴിയുള്ള പ്രവേശനം പ്രവർത്തിക്കുമ്പോൾ പരിഹരിക്കപ്പെടാത്ത പേര് റിസോൾവർ പ്രശ്നമാണ്, NAT പ്രശ്നമല്ല.

കൃത്യമായ തിരുത്തലിന് ശേഷം ക്ലയന്റും ബോധപൂർവം പരിമിതപ്പെടുത്തിയ ഏതെങ്കിലും സ്വകാര്യ വിഭവവും വീണ്ടും പരിശോധിക്കുക. ഇന്റർനെറ്റ് പ്രവേശനം നൽകുന്നത് ഗേറ്റ്‌വേയോട് ബന്ധിപ്പിച്ച ഓരോ നെറ്റ്‌വർക്കിലേക്കുമുള്ള പ്രവേശനം നിശ്ശബ്ദമായി വിപുലീകരിക്കരുത്.