पॉलिसी राउटिंग सुरू होईपर्यंत LAN क्लायंट राउटर VPN कडे दुर्लक्ष करतात

राउटर आपल्या टनेलमधून इंटरनेटला पोहोचतो, तर त्याच्या मागचा लॅपटॉप अजूनही ISP चा पत्ता सांगतो। स्वीकार नियम जोडल्याने फायदा होत नाही, आणि हे अपयश बोधप्रद आहे: फिल्टरिंग सांगते की पॅकेट पुढे जाऊ शकते का, हे नाही की ते कुठे जाते। इंटरफेसची निवड आधीच एका राउटिंग शोधाने केली आहे ज्याला तुमच्या क्लायंट यादीबद्दल काहीच माहीत नाही। शोध दुरुस्त करा, मग फायरवॉल संशयित राहणार नाही।

फिल्टर नियम इंटरफेस निवडू शकत नाही

लिनक्स राउटरवर पॅकेट प्रवाह प्रथम राउटिंग निर्णय चालवतो आणि नंतर फॉरवर्ड हुक। जेव्हा नियम बाहेर जाणाऱ्या टनेल उपकरणाशी जुळतो, तेव्हा कर्नेल आधीच ठरवून चुकले आहे की टनेल हाच बाहेर जाण्याचा मार्ग आहे। मुख्य तक्ता अजूनही WAN च्या डीफॉल्ट मार्गाला प्राधान्य देत असेल, तर पॅकेट ISP कडे जात आहे आणि नुकताच लिहिलेला स्वीकार नियम ते कधीही पाहत नाही। क्रमाची ही एकच गोष्ट स्पष्ट करते की नवीन फायरवॉल नियमांचे पूर्ण पान काहीच का बदलत नाही।

खालील उदाहरण br-lan वर 192.168.8.0/24 चे LAN, टनेल उपकरण tun0, आणि टनेलने जायला हवे असे 192.168.8.23 वरील एक सेट-टॉप बॉक्स वापरते।

नियम संपादित करण्यापूर्वी शोध वाचा

त्या क्लायंटच्या वतीने कर्नेलला मार्ग सोडवायला सांगा। उत्तरात बाहेर जाणारे उपकरण आणि निवडले जाणारे स्रोत पत्ते असतात, आणि निदान पुष्टी करण्यासाठी एवढेच पुरते। उत्तर WAN उपकरणाचे नाव घेत असेल, तर पॅकेटला तुमच्या नियमापर्यंत पोहोचण्याची संधीच नव्हती।

ip -4 route get 198.51.100.7 from 192.168.8.23

नेहमीच्या मार्गावर राहायला हव्या अशा क्लायंटसाठी प्रश्नाची पुनरावृत्ती करा। दोन्ही उत्तरे एकाच उपकरणाचे नाव घेत असतील, तर स्रोत-आधारित पॉलिसी अजून लागू नाही, आणि दुरुस्ती फिल्टरिंगमध्ये नाही, राउटिंगमध्ये आहे।

तुम्हाला व्यापायच्या क्लायंटशी तक्ता जोडा

पॉलिसी राउटिंग मुख्य तक्त्यापूर्वी नियम-शोध घालते। ज्याचा डीफॉल्ट मार्ग टनेल आहे असा तक्ता तयार करा, मग तो तक्ता निवडकाशी जोडा: इनपुट इंटरफेस, स्रोत पत्ता किंवा फायरवॉल खूण। प्राधान्यक्रम क्रम ठरवतात, आणि मुख्य तक्ता यादीत खूप खाली 32766 वर आहे, म्हणून कमी क्रमांकाचा नियम आधी पाहिला जातो। इंटरफेस निवडक ब्रिजवरील प्रत्येक क्लायंट व्यापतात; पत्ता निवडक एक यंत्र व्यापतात।

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

फर्मवेअर इंटरफेस सहसा पॉलिसी राउटिंग किंवा VPN धोरण पानासारखेच घटक दाखवतात। तिथली उपकरण यादी हाताने लिहिलेल्या नियमांपेक्षा सांभाळायला सोपी असते आणि नियमांची वाक्यरचना बदलणाऱ्या अपग्रेडनंतरही टिकते।

निवडक हेतुपुरस्सर निवडा। इंटरफेस नियम छोटा आणि भविष्यासाठी सुरक्षित असतो, पण त्या ब्रिजवर येणारा राउटरचाच व्यवस्थापन रहदारीही पकडतो। स्रोत नियम अचूक असतो आणि उपकरण यादी बदलली की दुरुस्ती लागते। निवड लिहून ठेवा, कारण एक उपकरण वेगळे का वागते हे विचारणाऱ्या पुढच्या व्यक्तीला ती लागेल।

स्थानिक गंतव्ये टनेलबाहेर ठेवा

नवीन तक्त्याला फक्त तुम्ही घातलेले मार्ग माहीत असतात। LAN उपसर्ग नाही, म्हणून प्रिंटर आणि NAS ची रहदारी टनेलच्या डीफॉल्ट मार्गाने जाऊन गायब झाली असती। throw मार्ग या तक्त्यातील शोध संपवतो आणि निर्णय मुख्य तक्त्याला परत देतो।

ip -4 route add throw 192.168.8.0/24 table 200

तो मार्ग वगळला तर स्थानिक शेअर तुटतात, आणि निवडक हेतूपेक्षा रुंद असेल तर राउटरचे स्वतःचे व्यवस्थापन सत्रही गायब होऊ शकते। मग स्रोताचा प्रश्न सोडवा: अजूनही LAN पत्ते वाहणाऱ्या टनेल पॅकेटना पलीकडच्या बाजूला परतीचा मार्ग माहीत असायला हवा, तर टनेलवर masquerading केल्याने ती अट हटते आणि पलीकडच्या बाजूला दिसणारी क्लायंट ओळखही हटते।

रनटाइममध्ये जोडलेले नियम आणि मार्ग रीबूट किंवा फर्मवेअर अपडेटनंतर जातात। ते राउटरच्या स्टार्टअप यंत्रणेत जोडा, एकदा रीबूट करा आणि क्लायंटवरून पुन्हा तपासा: त्याचा सार्वजनिक पत्ता, WAN वर राहायला हवा असा दुसरा क्लायंट, आणि नव्या कनेक्शनदरम्यान टनेल काउंटर।