Klien LAN mengabaikan VPN penghala sehingga perutean dasar diaktifkan

Penghala mencapai internet melalui terowongnya sementara komputer riba di belakangnya masih melaporkan alamat ISP. Menambah peraturan terima tidak membantu, dan kegagalan itu memberi petunjuk: penapisan menjawab sama ada paket boleh lalu, bukan ke mana ia pergi. Pilihan antara muka sudah dibuat oleh carian penghalaan yang tidak tahu apa-apa tentang senarai klien anda. Betulkan carian itu, dan tembok api bukan lagi suspek.

Peraturan penapis tidak boleh memilih antara muka

Aliran paket pada penghala Linux menjalankan keputusan penghalaan dahulu dan cangkuk ke hadapan selepas itu. Apabila peraturan sepadan dengan peranti terowong keluar, kernel sudah memutuskan bahawa terowong ialah jalan keluar. Jika jadual utama masih mengutamakan laluan lalai WAN, paket sedang menuju ISP dan peraturan terima yang baru anda tulis tidak pernah melihatnya. Satu fakta susunan itu menjelaskan mengapa satu halaman peraturan tembok api baharu tidak mengubah apa-apa.

Contoh di bawah menggunakan LAN 192.168.8.0/24 pada br-lan, peranti terowong tun0, dan satu kotak set atas di 192.168.8.23 yang sepatutnya menggunakan terowong.

Baca carian sebelum menyunting peraturan

Minta kernel menyelesaikan laluan bagi pihak klien itu. Jawapannya merangkumi peranti keluar dan alamat sumber yang akan dipilih, dan itu sahaja yang anda perlukan untuk mengesahkan diagnosis. Jika jawapannya menamakan peranti WAN, paket itu tidak pernah berpeluang sampai ke peraturan anda.

ip -4 route get 198.51.100.7 from 192.168.8.23

Ulangi pertanyaan untuk klien yang sepatutnya kekal di laluan biasa. Apabila kedua-dua jawapan menamakan peranti yang sama, tiada dasar mengikut sumber lagi, dan pembetulannya terletak pada penghalaan bukan penapisan.

Kaitkan jadual dengan klien yang ingin anda liputi

Perutean dasar menyisipkan carian peraturan sebelum jadual utama. Bina jadual yang laluan lalainya ialah terowong, kemudian ikat jadual itu pada pemilih: antara muka input, alamat sumber atau tanda tembok api. Keutamaan menentukan susunan, dan jadual utama berada jauh di bawah senarai pada 32766, jadi peraturan bernombor rendah diperiksa dahulu. Pemilih antara muka meliputi setiap klien pada jambatan; pemilih alamat meliputi satu mesin.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Antara muka firmware biasanya memaparkan objek yang sama seperti halaman perutean dasar atau dasar VPN. Senarai peranti di sana lebih mudah diselenggara daripada peraturan tulisan tangan dan biasanya bertahan selepas peningkatan yang mengubah sintaks peraturan.

Pilih pemilih dengan sengaja. Peraturan antara muka pendek dan tahan masa depan, tetapi ia juga menangkap trafik pengurusan penghala sendiri yang tiba di jambatan itu. Peraturan sumber tepat dan perlu disunting setiap kali senarai peranti berubah. Catat pilihan itu, kerana orang seterusnya yang bertanya mengapa satu peranti berkelakuan berbeza akan memerlukannya.

Jauhkan destinasi tempatan daripada terowong

Jadual baharu hanya mengenal laluan yang anda masukkan ke dalamnya. Awalan LAN tiada, jadi trafik pencetak dan NAS akan mengikut laluan lalai terowong dan hilang. Laluan throw menamatkan carian dalam jadual ini dan memulangkan keputusan kepada jadual utama.

ip -4 route add throw 192.168.8.0/24 table 200

Langkau laluan itu dan perkongsian tempatan rosak, dan sesi pengurusan penghala sendiri boleh hilang jika pemilih lebih luas daripada yang dimaksudkan. Kemudian selesaikan persoalan sumber: paket terowong yang masih membawa alamat LAN memerlukan sisi jauh mengetahui laluan balik, manakala masquerading pada terowong membuang syarat itu dan juga membuang identiti klien yang akan dilihat sisi jauh.

Peraturan dan laluan yang ditambah semasa berjalan hilang selepas but semula atau kemas kini firmware. Tambahkannya pada mekanisme permulaan penghala, but semula sekali, dan uji semula dari klien: alamat awamnya, klien kedua yang sepatutnya kekal di WAN, dan pembilang terowong semasa sambungan baharu.