VPN портыг нээх нь клиентүүдийг LAN-д хүрэх боломж олгохгүй

Оролтын дүрэм нь гарц руу өөрөө хаягласан пакетуудыг нэвтрүүлдэг. Өөр хост руу чиглэсэн клиентийн урсгалд дамжуулалт, маршрутлал болон буцах зам хэрэгтэй бөгөөд тэдгээрийг тус тусад нь шалгана.

Туннель босч, клиент баталгаажина, гэхдээ гарцын ардах LAN харагдахгүй хэвээр. Үүнийг засах ёстой байсан дүрэм VPN портыг зөвшөөрч, бичигдсэнээр яг ажилладаг, учир нь тэр дүрэм гарц руу өөрөө хаягласан пакетуудыг зохицуулдаг. Гарцын ардах хост руу чиглэсэн клиентийн урсгал өөр хүрэх газар, өөр гинжилтэй. Амжилттай нэвтрэлт нь цөм аль гинжийг хардагийг өөрчлөхгүй.

Хоёр гинж, хоёр өөр хүрэх газар

Пакетын хувь заяаг хаашаа явж байгаа нь шийднэ, хэрхэн ирсэн нь биш. Гарц дээрх хаяг руу чиглэсэн урсгалыг локалаар хүргэж, оролтын дүрмээр үнэлнэ. Гарц цааш дамжуулж буй урсгалыг дамжуулалтын дүрмээр үнэлнэ. Нэг туннелийн интерфейс хоёр төрлийн пакет үүсгэж чаддаг тул нэг дүрэм хоёр ажлыг хамарч чадахгүй.

Бүх домог нэг өгүүлбэрт: сонсогчийг зөвшөөрөх нь түүний ардах сүлжээг зөвшөөрөх тухай юу ч хэлэхгүй. Эдгээр нь тусдаа нотолгоотой хоёр тусдаа шийдвэр бөгөөд хоёуланд нь интерфейсийн нэр байх нь тэднийг нэгтгэхгүй.

Сонсогчийн дүрэм үнэндээ юуг зөвшөөрдөг вэ

Сонсогчийн пакетууд VPN процесс дээр дуусдаг бөгөөд энэ нь туннель байгуулах боломжийг олгодог. Гарцын удирдлагын хуудас болон локал оношилгооны хариу нь хост өөрийн оролтын замыг ашигладаг тул гарц руу хийсэн шалгалт амжилттай болж, ардах бүхэн бүтэлгүйтдэг. Хоёр үр дүн зөв бөгөөд аль нь ч LAN-ийн тухай биш.

Процесс өөр хүрэх газар руу клиентийн урсгалыг задалж авахад пакет дамжуулалтын замд орж, тэнд зөвшөөрөл хэрэгтэй. Амжилттай баталгаажуулалт клиент хэн болохыг шийднэ; хаашаа явж болохыг шийдэхгүй. Хоёр асуулт өөр эзэн, өөр бүртгэл, өөр алдааны мессежтэй.

Клиентээс шалга, гарцаас хэзээ ч биш

Гарц дээр хийсэн шалгалт хост өөрийн гарах замаар явдаг тул дамжуулалтын зам хаалттай байсан ч давж болно. Шалгалтыг клиентээс эхлээд урсгалын хоёр үзүүрийг хар.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Хэрэв хүсэлт tun0 дээр гарч, хүрэх газарт юу ч хүрэхгүй бол пакетыг ирсний дараа хаяна, энэ нь дамжуулалтын дүрэм эсвэл хүрэх газрын өөрийн шүүлтүүр рүү заана. Хэрэв tun0 дээр юу ч гарахгүй бол клиент түүнийг туннель руу ч илгээхгүй, асуудал гарцын бодлогод бус клиентийн маршрутлалд байна. Зөв гарч юу ч буцаахгүй хүсэлттэй харьцуул, энэ нь буцах замын тохиолдол.

Дамжуулалтад нэг биш, гурав хэрэгтэй

Цөмийн дамжуулалт идэвхтэй, шүүлтүүрийн дүрэм урсгалыг хүлээж авах, хүрэх газарт хүрч хариу буцах зам байх ёстой. Гурвын аль нэг нь дутуу бол клиентийн хувьд чимээгүй байдал ижил.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Гурван гаралтыг хамт унш. Эхнийх дээр тэг байвал бусад хоёр нь хамаагүй болно, хоёр дахьд анхдагч хаях бодлого байвал клиентийн пакетыг хаяж, гарцын өөрийн урсгал үргэлжилсээр байна. Гурав дахь гаралт нь сонсогчийн дүрэм хэзээ ч асуудал байгаагүйг харуулна.

Баримт бичигт хоёр дүрмийн багцыг тусдаа байлга

Сонсогчийн дүрэм болон дамжуулсан үйлчилгээний дүрмийг тусдаа мөрөнд, тусдаа эзэн ба шалтгаантай бич. VPN порт өөрчлөгдөх эсвэл шинэ үйлчилгээ нийтлэгдэх үед энэ тусгаарлалт нэг өөрчлөлт нөгөөг чимээгүй өргөжүүлэхээс сэргийлнэ.

Баталгаажсан түншийг бүгдийг нь итгэмжлэгдсэн LAN гишүүн гэж үзэхийн оронд шаардлагатай клиентийн хүрээ болон үйлчилгээнд нарийн дүрэм хэрэглэ. StrongSwan-ийн дамжуулалтын тэмдэглэл нь ижил хил хязгаарын буцах маршрут ба орчуулгын талыг тайлбарладаг бөгөөд энэ нь дахин гурав дахь шийдвэр.

Эцэст нь, хэрэглэгч татгалзсан үед давхаргуудыг шулуун байлга. Хүсэлт хост руу хүрч, програмууд бүртгэлийг татгалзвал тэр давхаргад програмын зөвшөөрлийг зас. Дамжуулалтыг өргөжүүлэх нь файл хуваалцах итгэмжлэл өгч чадахгүй бөгөөд амжилттай холбогдсон бусад бүх хүнд хандалтыг өргөжүүлнэ.

Холбоотой нийтлэлүүд