Туннель ажиллаж байна, интернет байхгүй: дамжуулалт хаана зогсдог

Үйлчлүүлэгч холбогдож, туннель гарц руу пинг зөөдөг бөгөөд түүнээс цааш юу ч хариу өгөхгүй байна. Энэ байдал нь зөвхөн хамгаалагдсан сүлжээнд нэвтрэхэд зориулагдсан гарцын хувьд хэвийн бөгөөд бүрэн туннелийн гарц гэж сурталчилсан гарцын хувьд алдаа юм. Дүрэм өөрчлөхөөс өмнө ямар үйлчилгээ амласан болохыг баталгаажуулаарай. Дараа нь нэг нийтийн хүсэлтийг зогсож болох дөрвөн газраар дагаарай. Нэг хүсэлт, нэг пакет бичлэг нь нэг хуудас таамаглалаас илүү зүйлийг шийднэ.

Интернетийн гарц анхнаасаа загвар байсан эсэхийг баталгаажуулаарай

Хуваасан туннелийн профайл зөвхөн хамгаалагдсан дэд сүлжээг VPN руу чиглүүлдэг тул нийтийн вэб үзлэг локал холбоосоор үргэлжилж, гарцад хэзээ ч хүрэхгүй. Бүрэн туннелийн профайл туннельд анхдагч маршрут суулгаж, гарцыг бүх замын хариуцлагатай болгоно. Хоёулаа хууль ёсны загвар бөгөөд тэдгээрийг андуурах нь алдаа байхгүй газар алдааны тайлан үүсгэдэг. Өөр зүйлийг туршихын өмнө үйлчлүүлэгчийн зарласан маршрутуудыг уншина уу, учир нь маршрутын хүснэгт тасалбарт ихэвчлэн буруу тавьдаг асуултад хариулдаг.

Үйлчлүүлэгчийн суулгадаг зүйл профайлын зорьж буй зүйл байх албагүй. Түлхэгдсэн маршрутыг бага хэмжигдэхүүнтэй локал маршрут дарж болох бөгөөд анхдагч маршрут нэмэхдээ LAN маршрутаа хадгалж буй үйлчлүүлэгч тухайн дэд сүлжээний хувьд хуваасан туннель мэт ажиллана.

Нэг нийтийн хүсэлтийг дагаарай

Нэг очих газрыг сонгож, түүнийг үйлчлүүлэгчээс гадагш дагаарай. Үйлчлүүлэгч дээр пакет үнэхээр туннелийг сонгож буй эсэх, ямар локал хаягийг эх сурвалж болгон ашиглаж буйг шалгаарай. Дараа нь гарцыг шалгаарай: пакет ирж байна уу, нийтийн интерфэйсээс гарч байна уу. Эдгээр хариулт бүр шалтгааны бүхэл ангиллыг арилгана.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Гарц пакетыг хэзээ ч харж чадахгүй бол үйлчлүүлэгчийн маршрут эсвэл туннелийн сонголт буруу. Пакет ирээд гарахгүй бол асуудал гарц дээр байна, үлдсэн гурван шалгалт хүчинтэй.

Дамжуулалт, маршрут, орчуулгыг шалгаарай

strongSwan-той хамт ирдэг дамжуулалтын заавар нь аливаа туннелийн төрлийн гарцад хамаарна: цөмд пакетуудыг интерфэйсүүдийн хооронд зөөхийг зөвшөөрөх ёстой, ашиглах боломжтой маршрут интернет рүү чиглэх ёстой. Дараа нь галт ханын бодлого трафикийг зөвшөөрөх ёстой, эх хаяг нь нийтийн тал хариулж чадах хаяг байх ёстой. Интернет рүү өөрчлөлтгүй дамжуулсан хувийн үйлчлүүлэгчийн хаяг хэзээ ч хариулт авахгүй.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Эх сурвалжийн орчуулга нь ихэвчлэн дутуу байдаг хэсэг. Түүнтэй гарц үйлчлүүлэгчийн эх сурвалжийг өөрийн нийтийн хаяг руу дахин бичиж, урсгалыг хянана; түүнгүйгээр хариулт явах газаргүй. Үүлэн платформууд хоёр дахь хил нэмдэг бөгөөд тэнд инстанцын маршрутын хүснэгт эсвэл аюулгүй байдлын бүлэг зочны галт хана зөвшөөрсөн трафикийг хаяж болно. Энэ хил хязгаарыг алдах амархан, учир нь зочны систем дотроос зөв тохируулагдсан харагдана.

Тэгш бус тохиргоонд урвуу замын шүүлтүүр хүчинтэй пакетуудыг ч хаяж болно. Тэр дүрмийн тоолуурыг уншина уу, бүх зүйл зүгээр гэж бүү таамаглаарай, учир нь нийтийн интерфэйс дэх хатуу тохиргоо нь маршрутын хүснэгтийн таамагласнаас өөр замаар ирсэн трафикийг татгалздаг.

Хариултын зам ба шийдвэрлэгч хоёр өөр хариулт

Зөвхөн хүсэлт төдийгүй хариултыг ажиглаарай. Хүсэлт орчуулагдан гарч, хариулт орчуулагдсан урсгал руу буцаж ирвэл програм хараахан бүтэлгүйтэж байсан ч дамжуулалт ажиллана, дараагийн шалгалт програм эсвэл DNS-д хамаарна.

HTTP алдаа буцаадаг сайт нь интернет рүү дамжуулалт ажиллаж буйг нотолно. Хаягаар нэвтрэх ажиллаж байхад шийдэгдэхгүй байгаа нэр нь шийдвэрлэгчийн асуудал, NAT-ийн асуудал биш.

Нарийн засварын дараа үйлчлүүлэгч болон зориуд хязгаарласан аливаа хувийн нөөцийг дахин шалгаарай. Интернетийн нэвтрэх эрх олгох нь гарцад холбогдсон сүлжээ бүрт нэвтрэх эрхийг чимээгүй өргөжүүлж болохгүй.