Akses LAN melalui OpenVPN rosak? Semak zon, laluan dan laluan balik

Terowong melaporkan sambungan berjaya, halaman penghala itu sendiri dimuatkan, dan pemetaan pemacu ke mesin di belakangnya masih tamat masa. Tiada apa-apa dalam gabungan itu bercanggah: penghala menjawab sebagai dirinya sendiri, dan mencapai apa-apa di belakangnya ialah keputusan lain yang dibuat di tempat lain. Jalankan semakan di bawah mengikut urutan dan berhenti pada kegagalan pertama, kerana setiap satu bersandar pada yang sebelumnya. Apabila keempat-empatnya lulus, kesalahan berada di atas terowong, bukan di dalamnya.

Penapis mana yang melihat paket menuju LAN

Paket yang dialamatkan kepada penghala dimakan secara setempat; paket yang dialamatkan kepada hos di belakangnya mesti dihantar, dan tembok api menilai kedua-dua kes itu secara berasingan. Jadi kebenaran untuk sampai ke penghala tidak berkata apa-apa tentang kebenaran untuk melaluinya. Perisian tegar yang menyembunyikan set peraturannya tetap melaksanakan kedua-duanya, biasanya sebagai pemilih yang menawarkan LAN, internet atau kedua-duanya. Jika pemilih meninggalkan LAN, tiada semakan kemudian yang akan bermakna.

OpenWrt menjadikan pemisahan itu boleh diperiksa, dan perbezaannya wajar dibaca sekali. Zon yang menamatkan terowong memerlukan peraturan penghantaran menuju zon LAN, manakala peraturan input hanya mengawal perkhidmatan pada penghala itu sendiri. Halaman pentadbiran yang berfungsi di sebelah LAN mati ialah hasil biasa daripada peraturan penghantaran yang hilang itu.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Lihat sasaran penghantaran zon yang membawa terowong: accept ialah apa yang diperlukan tangga itu, dan reject menerangkan setiap tamat masa di bawah. Dua tetapan jiran menghasilkan gejala yang sama, jadi ketepikan keduanya semasa anda di sini. Pengasingan wayarles menyembunyikan hos berwayar daripada klien wayarles, dan penghala yang menganggap hos LAN melahu sebagai luar talian boleh menggugurkan jawapan walaupun selepas penghantaran berfungsi.

Mengapa terowong berpecah memerlukan awalan yang ditolak

Klien yang menghantar semua trafik melalui terowong sudah memegang awalan LAN melalui laluan lalainya, jadi tiada apa yang perlu ditambah. Terowong berpecah ialah kes yang memerlukan awalan dinyatakan secara jelas, kerana tiada apa-apa lagi dalam konfigurasi menyebutnya. Tambah arahan itu ke konfigurasi pelayan dan muat semula perkhidmatan.

push "route 192.168.50.0 255.255.255.0"

Profil yang mengandungi route-nopull mengabaikan laluan yang ditolak, jadi awalan yang sama tergolong dalam fail klien. Walau apa pun, sahkan entri itu tiba dan bukannya menganggapnya, kerana penggantian senyap kelihatan sama seperti masalah tembok api.

ip route show | grep 192.168.50

Rakan sebaya tapak-ke-tapak meminta lebih daripada tolakan. Pelayan mesti mempelajari awalan mana yang berada di belakang rakan itu, yang dilakukan oleh baris iroute dalam fail client-config-dirnya, dan jadualnya sendiri memerlukan laluan yang sepadan ke dalam terowong.

Jawapan memerlukan alamat yang boleh dicapai

Menghantar permintaan hanyalah separuh daripada pertukaran, kerana hos LAN mesti menjawab ke alamat dalam kumpulan terowong. Penghala kecil biasanya mengaturnya dengan menterjemah sumber pada zon terowong, jadi jawapan dialamatkan kepada penghala dan tidak perlu konfigurasi di tempat lain. Buang terjemahan itu dan hos memerlukan laluannya sendiri ke kumpulan, yang diperolehnya percuma apabila penghala ialah get laluan lalainya. Hos dengan alamat yang ditetapkan tangan dan get laluan berbeza menjawab melalui get laluan itu, dan klien melihat sesi terbuka lalu tersangkut.

tcpdump -ni tun0 host 192.168.50.20

Jalankan itu pada penghala semasa klien mengulangi permintaannya, dan baca destinasi jawapan dan bukannya permintaan. Jawapan yang dialamatkan ke kumpulan bermaksud laluan balik berfungsi dan kesalahan lebih jauh ke dalam. Tiada jawapan langsung bermaksud hos tidak pernah menerima paket, yang menghantar anda kembali ke set peraturan.

Tangga yang berakhir di tempat yang betul

Empat semakan menyetempatkan lapisan, dan setiap satu ialah satu arahan dan bukan penilaian. Jalankannya mengikut urutan dan berhenti pada kegagalan pertama. Urutan lebih penting daripada arahan, kerana langkah kemudian yang lulus menyembunyikan sebab langkah sebelumnya gagal.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Nama tergolong di hujung tangga, tidak pernah di permulaan. Perkongsian yang menjawab sebagai 192.168.50.20 tetapi bukan sebagai nas.local menunjuk kepada penyelesaian nama atau akhiran carian, dan suntingan tembok api tidak boleh mengubah mana-mana satu.

Catat langkah pertama yang gagal, kemudian beri port perkhidmatan pusingan mereka sendiri, kerana pendengar dan kebenaran hos ialah keperluan berasingan. Perkongsian fail, desktop jauh dan strim kamera semuanya memerlukan kedua-duanya, dan tembok api hos yang mempercayai subnet LAN tetapi bukan kumpulan terowong menggugurkan klien semasa ping masih berjaya. Apabila semua semakan lulus dan aplikasi masih gagal, kesalahan berada di atas terowong: perkhidmatan yang terikat pada satu antara muka, atau proksi yang dikonfigurasikan pada klien.