ब्रिज केलेल्या OpenVPN क्लायंटना इंटरनेट नाही? NAT नियम तपासा

ब्रिज केलेला सर्व्हर सुरू आहे, masquerade नियम आहे, तरीही क्लायंटवरील ब्राउझर फिरत आहे. सर्व काही चालायला हवे असे वाटते, म्हणूनच पहिला तास बोगदा आणि क्रेडेन्शियल्स तपासण्यात जातो. मग तुम्ही NAT नियमावरील काउंटर वाचता आणि हलला नसलेला शून्य दिसतो. एकही पॅकेट न मोजलेला नियम एकाही पॅकेटशी कधीच जुळला नाही, आणि ब्रिज केलेल्या सर्व्हरवर कारण रचनात्मक आहे: क्लायंटची रहदारी आभासी tap उपकरणातून बाहेर पडते, तर नियम जुन्या मार्गदर्शकातून कॉपी केलेल्या भौतिक कार्डचे नाव घेतो.

पुरावा काउंटर आहे, तक्त्यातील नोंद नाही

असलेले नियम आणि जुळणारे नियम वेगळ्या गोष्टी आहेत, आणि त्यांना वेगळे करणारा काउंटर आहे. NAT तक्ता सविस्तर काउंटरसह सूचीबद्ध करा आणि काहीही बदलण्यापूर्वी प्रत्येक नियमाशेजारील आकडे वाचा. रहदारी वाहत असताना शून्यावर स्थिर असलेला काउंटर म्हणजे नियम वगळला गेला, त्याचे पत्ते कितीही योग्य वाटले तरी. जोडणी अजूनही अयशस्वी होत असताना वाढणारा काउंटर तुम्हाला दुसरीकडे पाठवतो: फॉरवर्डिंग, परतीचा मार्ग, किंवा दूरचे टोक.

iptables -t nat -L POSTROUTING -v -n

सर्वप्रथम इंटरफेस जुळणीशेजारील काउंटर वाचा. स्रोत श्रेणी बरोबर आणि आउटपुट बाजू चुकीची असेल, तर दुरुस्ती नवीन नियम नाही तर नियमातील एक शब्द आहे.

कर्नेल प्रत्यक्षात कोणते नाव नोंदवते ते शोधा

नियम लिहिण्यापूर्वी स्मरणावर नाही तर इंटरफेस यादीवरून बोगदा उपकरणाचे नाव ओळखा. ब्रिज केलेल्या OpenVPN सेटअपमध्ये उपकरण सामान्यतः सर्व्हरने तयार केलेला tap इंटरफेस असतो, आणि त्याचे नाव तुमच्या स्थानिक संरचनेचा भाग असते, सार्वत्रिक स्थिरांक नाही. बोगदा सुरू असताना ते अस्तित्वात आहे याची खात्री करा, कारण क्लायंट जोडल्यावरच दिसणारे उपकरण पूर्वीची चाचणी नियमाची समस्या वाटू लागेल.

ip -brief link

नाव लिहून ठेवा. या निदानातील प्रत्येक पुढील आदेश त्याचा संदर्भ घेतो, आणि इथली टायपिंग चूक मूळ चुकीसारखाच तंतोतंत शून्य काउंटर निर्माण करते.

बोगदा उपकरणासाठी नियम पुन्हा लिहा

नियम बोगदा उपकरणाकडे वळवा आणि क्लायंट श्रेणी जुळणीची अट म्हणून ठेवा, जेणेकरून तो बोगद्यातील रहदारी व्यापेल आणि यजमानाच्या स्वतःच्या जोडण्या अशा पद्धतीने राहू देईल. तुमची स्वतःची श्रेणी आणि उपकरणाचे नाव वापरा, कारण खालील दोन्ही उदाहरणे आहेत आणि दोन्ही स्थापनांमध्ये हलवता येत नाहीत.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

मग त्याच लक्षणाने लपलेल्या इतर दोन अटी तपासा. फॉरवर्डिंग सुरू आहे का ते पाहा, आणि नसेल तर रीबूटवर नाहीशा होणाऱ्या echo ने नाही, तर वितरणाच्या स्वतःच्या संरचनेत ते सुरू करा. forward साखळीचे काउंटरही वाचा, आणि जर ती बोगद्यातील रहदारी टाकत असेल, तर तो इंटरफेस विशेषतः परवानगी द्या आणि साखळीचे धोरण बदलू नका.

काउंटरसह forward साखळी वाचण्यास एकच आदेश लागतो आणि दुसरा नियम हाताळण्यापूर्वी उर्वरित अर्ध्या शक्यता तोच नाकारतो.

भौतिक कार्ड कधीच का जुळत नाही

ब्रिज म्हणजे tap उपकरण आणि एका भौतिक इंटरफेसपासून बनवलेला सॉफ्टवेअर स्विच. क्लायंटची फ्रेम त्या स्विचमध्ये प्रवेश करते आणि कार्डावरील पॅकेट म्हणून नाही तर ब्रिजचा सदस्य म्हणून भौतिक जाळ्याकडे बाहेर पडते. म्हणूनच कर्नेल त्या पॅकेटचे श्रेय ब्रिज आणि त्याच्या पोर्टला देते, आणि म्हणूनच तुम्ही विचार केलेले कार्ड जुळणीत कधीच दिसत नाही. भौतिक इंटरफेसमध्ये काहीच बिघडलेले नाही; तो फक्त ते उपकरण नाही ज्याला कर्नेल त्या पॅकेटचे श्रेय देते.

लोक पुढे ज्या समस्येला सामोरे जातात ती त्याच रचनेतून येते: ब्रिजवरील फ्रेम गाळणी ही IP गाळणीपासून वेगळी सुविधा आहे. जर फ्रेम-स्तरावरील निर्बंध हवा असेल, तर तो ब्रिज गाळणीचा भाग आहे, IP तक्त्यातील नियमाचा नाही.

हे सुरुवातीपासून शेवटपर्यंत सिद्ध करा, मग टिकवून ठेवा

एक क्लायंट सुरू करा आणि सर्व्हरच्या LAN वर काहीतरी पिंग करा; तो मार्ग कोणत्याही अनुवादाशिवाय फॉरवर्डिंग तपासतो. त्यानंतर सार्वजनिक काहीतरी मागा जेणेकरून masquerade नियम वापरावाच लागेल, आणि काउंटर पुन्हा एकदा वाचा: या चाचणीसाठी तो हलायला हवा, आधीच्या चाचणीसाठी नाही. बोगदा उपकरणावर घेतलेले कॅप्चर फ्रेम कुठे दिसते आणि कोणता पत्ता घेऊन जाते दोन्ही दाखवते.

शेवटची पायरी: चालणारे नियम रीस्टार्ट वाचतो त्या संरचनेत टाका, आणि या यजमानाचा ब्रिज प्रत्यक्षात कोणते उपकरण-नाव वापरतो ते नोंदवा. हाताने टाइप केलेले काहीही रीबूटनंतर जाते, आणि तीच बिघाड समजावून सांगायला काहीही उरल्याशिवाय परत येते.

पुन्हा लिहिल्यानंतरही काउंटर हलत नसेल, तर नियमातील स्रोत श्रेणीची क्लायंटला प्रत्यक्षात मिळालेल्या पत्त्याशी तुलना करा, कारण ब्रिज केलेला सर्व्हर तुम्ही ठरवले नसलेल्या श्रेणीतून पत्ते देऊ शकतो.