पूर्ण बोगदा OpenVPN: सर्व्हर बाजूला इंटरनेट निर्गम जोडा

ग्राहक प्रमाणीकरण करतो, पूलमधून पत्ता घेतो आणि VPN होस्टवरील सेवांपर्यंत पोहोचतो, तरीही प्रत्येक सार्वजनिक गंतव्य वेळ संपल्यावर थांबते. निर्गम नसलेली बोगदा अशीच दिसते आणि चार वेगळ्या गोष्टी खऱ्या होईपर्यंत ती तशीच राहते. ग्राहकाने डीफॉल्ट मार्ग स्वीकारला पाहिजे, सर्व्हरने पुढे पाठवले पाहिजे, फायरवॉलने संक्रमणास परवानगी दिली पाहिजे आणि उत्तरांना पूलकडे परतीचा मार्ग हवा. चारही अपयशांचे एकच लक्षण आहे, म्हणून प्रत्येक प्रयत्नात एक गोष्ट बदला आणि निकाल नोंदवा.

डीफॉल्ट मार्ग पुश करा आणि ग्राहकाने काय स्थापित केले ते तपासा

सर्व्हर बाजूची ओळ छोटी आहे, आणि ते केवळ पुश केलेले पर्याय स्वीकारणाऱ्या ग्राहकांवर परिणाम करते. def1 स्वरूप विद्यमान डीफॉल्ट हटवण्याऐवजी दोन अर्ध-डीफॉल्ट मार्ग स्थापित करते, ज्यामुळे सध्याचे कनेक्शन जिवंत राहते आणि तरीही प्रत्येक गंतव्य पकडले जाते.

push "redirect-gateway def1"

पुन्हा जोडल्यानंतर प्रोफाइलवर विश्वास ठेवण्याऐवजी ग्राहकाचे राउटिंग तक्ते वाचा. Linux वर दोन /1 नोंदी मूळ डीफॉल्टच्या शेजारी दिसतात आणि Windows तीच जोडी 0.0.0.0/1 आणि 128.0.0.0/1 अशी दाखवते. पुश केलेले पर्याय दुर्लक्षिणारा ग्राहक, किंवा ते नाकारण्यासाठी संरचित केलेला ग्राहक, त्याचा जुना डीफॉल्ट ठेवतो आणि इंटरनेट रहदारी कधीही बोगद्यात पाठवत नाही. सर्व्हरवर काहीही बदलण्यापूर्वी हा प्रश्न सोडवा, कारण सर्व्हर बाजूचा कोणताही नियम त्याची भरपाई करू शकत नाही.

पुढे पाठवणे हे सर्व्हर सेटिंग आहे, VPN सेटिंग नाही

राउटिंगला हात लावण्यापूर्वी पुढे पाठवण्याचा ध्वज वाचा. तेथे शून्य म्हणजे कर्नेल ग्राहकाचे पॅकेट घेते आणि ते पुढे पाठवण्यास नकार देते, जे दूरच्या टोकाकडून फायरवॉल अडवण्यासारखेच दिसते. मूल्य सिस्टमच्या संरचना डिरेक्टरीमधून सेट करा जेणेकरून ते रीबूटनंतरही टिकेल.

sysctl net.ipv4.ip_forward
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-vpn-forward.conf
sudo sysctl --system

पुढे, होस्टलाच इंटरनेट निर्गमापर्यंत कार्यरत मार्ग आहे याची खात्री करा. सर्व्हरच्या शेलमधून केलेली विनंती वरचा मार्ग वापरण्यायोग्य आहे हे सिद्ध करते आणि ग्राहकाचे पॅकेट पुढे पाठवण्याबद्दल काहीही सांगत नाही, म्हणून त्यांना दोन वेगळ्या चाचण्या माना. सर्व्हर गंतव्यापर्यंत पोहोचू शकत नसेल, तर कितीही पुढे-पाठवणे संरचना उपयोगी पडणार नाही.

तुम्हाला अभिप्रेत असलेल्या संक्रमणासच परवानगी द्या, इतर कशालाही नाही

पुढे पाठवलेले पॅकेट forward मार्ग ओलांडतात; VPN होस्टलाच उद्देशून असलेली रहदारी input मार्ग ओलांडते. हे वेगवेगळे निर्णय आहेत आणि input मार्ग उघडल्याने यंत्रातून संक्रमणास परवानगी मिळत नाही. हे दोन गोष्टींची गल्लत करणे हेच फायरवॉल सर्व काही परवानगी देत असल्यासारखे दिसत असताना ग्राहक अजूनही वेळ संपून थांबण्याचे सर्वात सामान्य कारण आहे.

किमान धोरण पूलमधून निर्गम इंटरफेसकडे नवीन कनेक्शन स्वीकारते आणि प्रस्थापित प्रवाहांशी संबंधित उत्तरे स्वीकारते. प्रत्येक बूटला नकली नियम जोडण्याऐवजी तुमचे वितरण वापरत असलेल्या नियमसंचाच्या मालकाकडे ते ठेवा; नकली नियम साचतात आणि मोजण्यांचा अर्थ संपतो.

sudo iptables -A FORWARD -i tun0 -o eth0 -s 10.90.0.0/24 -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

प्रत्येक साखळी स्वीकारावर बदलल्याने चाचणी उत्तीर्ण होते आणि फायरवॉल असण्याचे कारण नाहीसे होते. व्याप्ती पूल आणि निर्गम इंटरफेसपर्यंत ठेवा आणि असंबंधित पुढे पाठवणे तसेच ठेवा.

उत्तरांना जाण्यासाठी जागा द्या

पूलचे पत्ते खाजगी आहेत, म्हणून सार्वजनिक सर्व्हर त्यांना थेट उत्तर पोहोचवू शकत नाही. एकतर VPN होस्ट बाहेर जाताना स्रोत पत्त्याचे भाषांतर करतो, किंवा वरचे उपकरण पूलकडे परतीचा मार्ग ठेवते.

sudo iptables -t nat -A POSTROUTING -s 10.90.0.0/24 -o eth0 -j MASQUERADE

नेमकी एक भाषांतर स्तर जोडा. अजून वरचा दुसरा NAT पहिला लपवतो आणि नंतर काही बिघडल्यावर दोन्ही नोंदी जवळपास निरुपयोगी करतो. वरचा राउटर पूल आधीच परत राउट करत असेल, तर होस्टवर भाषांतर जोडणे अनावश्यक आहे आणि परतीचा मार्ग तेव्हा तुमच्या ऐवजी त्या राउटरच्या संरचनेवर अवलंबून असतो.

क्लाउड इन्स्टन्स अजून एक द्वार जोडतात, कारण काही प्लॅटफॉर्म स्रोत पत्ता इन्स्टन्सचाच नसलेली पॅकेट्स ती तपासणी सैल केल्याशिवाय टाकून देतात. ते सेटिंग पाहुण्याबाहेर आहे आणि स्थानिक चाचणी यंत्र चालू असताना विसरणे सोपे आहे.

ते सर्व्हर शेलमधून नाही, ग्राहकाकडून सिद्ध करा

संख्यात्मक IPv4 विनंतीने सुरुवात करा, नंतर नाव शोध, नंतर अनुप्रयोग. ping पुढे पाठवणे आणि भाषांतर सिद्ध करते;ते नाव निराकरणाबद्दल काहीही सिद्ध करत नाही, कारण DNS पर्याय ग्राहक एकत्रीकरणाने ते स्थापित केल्यावरच लागू होतात.

curl -4 -m 5 http://198.51.100.10/
dig +short example.com

बदल आणि पूर्वस्थितीची पायरी चालू असतानाच नोंदवा, जेणेकरून चाचणी अपयशी झाल्यास निर्गम धोरण एका कृतीत परत आणता येईल. ही पद्धत केवळ IPv4 व्यापते; तैनाती सर्व रहदारी वाहते असे म्हणण्यापूर्वी IPv6 ची स्वतंत्र नोंदणी करा.