Terowong naik, internet tiada: di mana penghantaran berhenti

Klien menyambung, terowong membawa ping ke get laluan, dan tiada apa di sebaliknya yang menjawab. Keadaan itu normal bagi get laluan yang sejak awal hanya bertujuan memberi akses kepada rangkaian terlindung, dan ia ialah kerosakan bagi get laluan yang diiklankan sebagai jalan keluar terowong penuh. Sebelum mengubah peraturan, sahkan perkhidmatan mana yang dijanjikan. Kemudian ikuti satu permintaan awam melalui empat tempat ia boleh berhenti. Satu permintaan dan satu tangkapan paket menyelesaikan lebih banyak daripada satu halaman tekaan.

Sahkan sama ada jalan keluar internet memang reka bentuk asalnya

Profil terowong terbelah hanya menghalakan subnet terlindung ke VPN, jadi pelayaran awam berterusan melalui pautan tempatan dan tidak pernah menyentuh get laluan. Profil terowong penuh memasang laluan lalai ke dalam terowong, yang menjadikan get laluan bertanggungjawab atas seluruh laluan. Kedua-duanya reka bentuk yang sah, dan mengelirukannya menghasilkan laporan kerosakan di tempat yang tiada. Baca laluan yang diumumkan klien sebelum menguji apa-apa lagi, kerana jadual laluan menjawab soalan yang biasanya salah dikemukakan dalam tiket.

Apa yang dipasang klien tidak selalunya apa yang dimaksudkan profil. Laluan yang ditolak boleh diatasi oleh laluan tempatan dengan metrik lebih rendah, dan klien yang mengekalkan laluan LAN sambil menambah laluan lalai berkelakuan seperti terowong terbelah bagi subnet itu.

Ikuti satu permintaan awam

Pilih satu destinasi dan ikuti dari klien ke luar. Pada klien, periksa sama ada paket benar-benar memilih terowong dan alamat tempatan mana yang digunakan sebagai sumber. Kemudian periksa get laluan: adakah paket tiba, dan adakah ia keluar dari antara muka awam. Setiap jawapan itu membuang satu kategori punca.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Jika get laluan tidak pernah melihat paket, laluan klien atau pilihan terowong adalah salah. Jika ia tiba dan tidak keluar, masalahnya pada get laluan, dan tiga pemeriksaan yang tinggal terpakai.

Periksa penghantaran, laluan dan terjemahan

Panduan penghantaran yang disertakan dengan strongSwan terpakai kepada get laluan mana-mana jenis terowong: kernel mesti dibenarkan memindahkan paket antara antara muka, dan laluan yang boleh guna mesti menunjuk ke internet. Dasar tembok api kemudiannya mesti membenarkan trafik, dan alamat sumber mesti salah satu yang boleh dijawab oleh pihak awam. Alamat klien peribadi yang dihantar tanpa perubahan ke internet tidak pernah menerima balasan.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Terjemahan sumber ialah bahagian yang biasa hilang. Dengannya get laluan menulis semula sumber klien ke alamat awamnya dan menjejaki aliran; tanpanya balasan tiada tempat untuk pergi. Platform awan menambah sempadan kedua, di mana jadual laluan atau kumpulan keselamatan instans boleh menggugurkan trafik yang dibenarkan tembok api tetamu. Sempadan itu mudah terlepas kerana sistem tetamu kelihatan dikonfigurasikan dengan betul dari dalam.

Penapisan laluan songsang dalam persediaan asimetri juga boleh menggugurkan paket yang sah. Baca pembilang peraturan itu daripada menganggapnya baik, kerana tetapan ketat pada antara muka awam menolak trafik yang tiba melalui laluan berbeza daripada yang diramalkan jadual laluan.

Laluan balasan dan penyelesai ialah dua jawapan berbeza

Perhatikan juga balasan, bukan hanya permintaan. Jika permintaan keluar diterjemah dan balasan kembali ke aliran yang diterjemah, penghantaran berfungsi walaupun aplikasi masih gagal, dan siasatan seterusnya milik aplikasi atau DNS.

Laman yang memulangkan ralat HTTP ialah bukti bahawa penghantaran ke internet berfungsi. Nama yang tidak dapat diselesaikan sementara akses melalui alamat berfungsi ialah masalah penyelesai, bukan masalah NAT.

Selepas pembetulan yang sempit, uji semula klien serta mana-mana sumber peribadi yang sengaja dihadkan. Memberi akses internet tidak boleh secara senyap meluaskan akses ke setiap rangkaian yang bersambung ke get laluan.