Роутерийн VPN ажиллаж байна, гэхдээ LAN клиентүүд интернетгүй

Роутер өөрийн туннелээр интернетэд хүрдэг ч ард нь байгаа төхөөрөмжүүд хүрдэггүй. Дамжуулалт, хөрвүүлэлт, буцах маршрут нь тусдаа зөвшөөрөл юм.

Туннель ажиллаж байна гэж төлөв мэдээлж, роутер дээрх браузер хуудсуудыг ачаалж байхад ард нь байгаа бүх төхөөрөмж хугацаа хэтэрсээр байна. Энэ хослол асуудлыг ихэнх VPN гарын авлага хэзээ ч дурдаагүй давхарга руу нарийсгана: туннелээр нэвтрэх ёстой пакетуудтай цорын ганц хост нь роутер биш. Локал үүссэн урсгал болон дамжуулагдсан урсгал нэг хайрцаг дотор өөр өөр замаар явдаг. Клиентээс туршиж үзээрэй, ялгаа нь онолын биш болно.

Алдааг LAN хостноос унших

Ажиллахгүй байгаа төхөөрөмжөөс эхэл, учир нь роутер дээр хийсэн оношилгоо өөр асуултад хариулдаг. Клиентийн анхдагч гарц нь энэ роутер гэдгийг баталгаажуул, түүний эх хаяг болон дэд сүлжээг тэмдэглэ, дараа нь роутерийн туннелийн интерфэйсээс юу гарч байгааг хар.

Хэрэв клиентийн хаягийг хөрвүүлсэн бол алслагдсан тал туннелийн хаягийг хардаг бөгөөд тэндээс бүх зүйл эрүүл харагдаж байхад клиент ажиллахгүй хэвээр байна. Хэрэв хөрвүүлээгүй бол алслагдсан тал клиентийн дэд сүлжээ рүү буцах маршрутыг мэдэх ёстой бөгөөд олон гарц анхдагчаар ийм маршрутгүй байдаг. Ямар ч тохиолдолд роутерийн өөрийн амжилт хамаагүй, учир нь түүний пакетууд локал үүссэн бөгөөд дамжуулалтын замаар хэзээ ч гарч байгаагүй.

Локал болон дамжуулагдсан урсгал өөр өөр

Linux болон ихэнх роутерийн програмын хангамж хайрцаг өөрөө үүсгэсэн пакетуудыг түүгээр дамжин өнгөрөх пакетуудаас өөрөөр зохицуулдаг. Гаралтын гинжин хэлхээ эхний төрлийг хардаг, дамжуулалтын гинжин хэлхээ хоёр дахь төрлийг хардаг, мөн роутерийн өөрийн урсгалд тохируулсан бодлого дамжуулалтыг хөндөхгүй орхиж болно.

sysctl net.ipv4.ip_forward
ip -4 address show br-lan
ip route get 203.0.113.9
nft list ruleset | grep -A 6 'chain forward'

Дамжуулалт ерөнхийдөө идэвхжсэн эсэхийг шалга, дараа нь гаралтын гинжин хэлхээний оронд дамжуулалтын гинжин хэлхээг унш. Шифрлэгдсэн гадаад холболтыг зөвшөөрсөн дүрэм нь шифрлэлт тайлагдсан пакетыг дамжуулахыг зөвшөөрсөн дүрэм биш бөгөөд энэ хоёрыг андуурах нь яг энэ шинж тэмдгийг үүсгэдэг. Туннель ажиллаж байгаа нь зөвхөн эхнийхийг нотолдог.

Буцах зам мөн байх ёстой

Эх хөрвүүлэлт буцах зам шаардлагатай эсэхийг шийддэг. Туннелийн интерфэйс дээр маскарад хийвэл хариу туннелийн хаяг руу буцаж ирдэг бөгөөд роутер тэдгээрийг буцаан хөрвүүлдэг. Үгүй бол алслагдсан гарцад клиентийн дэд сүлжээ рүү тодорхой маршрут хэрэгтэй бөгөөд түүний өөрийн бодлого тэр чиглэлийг зөвшөөрөх ёстой.

Ямар нэг зүйлийг өөрчлөхөөс өмнө байршуулалт хоёр загварын алийг нь ашиглаж байгааг тэмдэглэ, учир нь засварууд эсрэг чиглэлд заадаг. Хөрвүүлэлт нэмэх нь дутуу буцах маршрутыг нууж, анхны эх хаягийг шаарддаг програмуудыг эвддэг. Хөрвүүлэлтгүйгээр буцах маршрут нэмэх нь алслагдсан галт хана танихгүй эхийг хаях үед чимээгүйгээр бүтэлгүйтдэг. Нэгийг сонго, баримтжуул, нөгөө талыг нь тааруул.

Клиентийн DNS мөн адил хяналтад хамаарна. Роутерийн шийдвэрлэгч хариулж чадах боловч өөр сервер рүү заасан клиент юу ч авдаггүй.

Нэг зөвшөөрөгдсөн, нэг хориглосон урсгалыг шалгах

Засварын дараа роутерийн одоо байгаа сессээс биш, клиентээс шинэ холболт туршиж үз. Дараа нь туннель ашиглах ёсгүй сегмент одоо ч ашиглахгүй байгааг баталгаажуул.

curl -sS --max-time 8 https://api.ipify.org
ip route get 203.0.113.9
dig +short intranet.example.net

Алслагдсан төгсгөлд ажиглагдсан эх хаягийг шалга, учир нь аль загвар үнэхээр ажиллаж байгааг энэ хэлнэ. Хаягийн хамт нэрийн хайлтыг ч шалга, учир нь шийдвэрлэгчийн зан төлөв нэг хайрцагаар дамждаг тусдаа зам юм.

Дүрмийг туннель шаарддаг клиентийн сүлжээнд хязгаарлаж байлга, нэг туршилт давахын тулд дамжуулалтын шүүлтүүрийг унтраахыг эсэргүүц. Тэр өөрчлөлт туршилтыг засдаг ч туннель өгөх ёстой байсан хил хязгаарыг арилгадаг. Эх хаяг, хөрвүүлэлтийн шийдвэр, буцах маршрутыг огноотой нь нэг тэмдэглэлд бич.

Холбоотой нийтлэлүүд