Klijenti OpenVPN b'pont bla internet? Iċċekkja r-regola NAT

Is-server b'pont huwa attiv, ir-regola masquerade hemm, u xorta l-browser fuq il-klijent idur. Kollox jidher li għandu jaħdem, u għalhekk l-ewwel siegħa tintuża biex tiġi ċċekkjata t-tunnel u l-kredenzjali. Imbagħad taqra l-counter fuq ir-regola NAT u ssib żero li ma ċċaqlaqx. Regola li qatt ma għaddet pakkett qatt ma qabblet wieħed, u fuq server b'pont ir-raġuni hija strutturali: it-traffiku tal-klijent joħroġ mill-apparat tap virtwali, filwaqt li r-regola ssemmi l-karta fiżika li kkupjajt minn gwida eqdem.

Il-counter huwa l-prova, mhux l-entrata fit-tabella

Regoli li jeżistu u regoli li jaqblu huma affarijiet differenti, u l-counter huwa dak li jifridhom. Uri t-tabella NAT b'counters dettaljati u aqra n-numri ħdejn kull regola qabel ma tbiddel xi ħaġa. Counter wieqaf fuq żero waqt li t-traffiku jgħaddi jfisser li r-regola ġiet skippjata, kemm jidhru sensibbli l-indirizzi tagħha. Counter li jogħla waqt li l-konnessjoni għadha tfalli jibgħatek x'imkien ieħor: il-forwarding, il-passaġġ lura, jew it-tarf imbiegħed.

iptables -t nat -L POSTROUTING -v -n

L-ewwel aqra l-counter ħdejn il-qbil tal-interface. Jekk il-firxa tas-sors hija tajba u n-naħa tal-output hija ħażina, is-sewwa huwa kelma waħda fir-regola, mhux regola ġdida għal kollox.

Sib l-isem li l-kernel fil-fatt jirreġistra

Identifika l-isem tal-apparat tat-tunnel qabel ma tikteb ir-regola, billi tuża l-lista tal-interfaces u mhux il-memorja. F'konfigurazzjoni OpenVPN b'pont l-apparat normalment ikun interface tap maħluq mis-server, u ismu huwa parti mill-konfigurazzjoni lokali tiegħek, mhux kostanti universali. Ikkonferma li jeżisti waqt li t-tunnel ikun attiv, għax apparat li jidher biss wara li jingħaqad klijent jagħmel test preċedenti jidher bħala problema tar-regola.

ip -brief link

Ikteb l-isem. Kull kmand aktar tard f'din id-dijanjosi jirreferi għalih, u żball ta' tipografija hawn jipproduċi eżattament l-istess counter żero bħall-iżball oriġinali.

Erġa' ikteb ir-regola għall-apparat tat-tunnel

Dawwar ir-regola lejn l-apparat tat-tunnel u żomm il-firxa tal-klijenti bħala l-kundizzjoni tal-qbil tagħha, sabiex tkopri t-traffiku tat-tunnel u tħalli l-konnessjonijiet tal-host stess waħedhom. Issostitwixxi bil-firxa u bl-isem tal-apparat tiegħek, għax it-tnejn hawn taħt huma eżempji u l-ebda wieħed mhu portabbli bejn installazzjonijiet.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Imbagħad iċċekkja ż-żewġ kundizzjonijiet l-oħra li l-istess sintomu jaħbi. Iċċekkja jekk il-forwarding huwiex attiv, u jekk mhuwiex, attivah fil-konfigurazzjoni tad-distribuzzjoni stess u mhux b'echo li jisparixxi wara r-restart. Aqra wkoll il-counters tal-katina forward, u jekk din tarmi t-traffiku tat-tunnel, ippermetti dak l-interface b'mod speċifiku u ħalli l-politika tal-katina kif inhi.

Il-qari tal-katina forward bil-counters jieħu kmand wieħed u jneħħi nofs il-possibbiltajiet li jifdal qabel ma tmiss regola oħra.

Għaliex il-karta fiżika qatt ma taqbel

Pont huwa swiċċ tas-software mibni mill-apparat tap u minn interface fiżika waħda. Il-frame tal-klijent tidħol f'dak is-swiċċ u toħroġ lejn in-netwerk fiżiku bħala membru tal-pont u mhux bħala pakkett fuq il-karta. Il-kernel għalhekk jattribwixxi l-pakkett lill-pont u lill-port tiegħu, u għalhekk il-karta li kienet f'moħħok qatt ma tidher fil-qbil. Xejn mhu miksir fl-interface fiżika; hija sempliċement mhix l-apparat li l-kernel jattribwixxi lil dak il-pakkett.

Il-problema li n-nies jiltaqgħu magħha wara tiġi mill-istess struttura: il-filtrazzjoni tal-frames fuq pont hija faċilità separata mill-filtrazzjoni IP. Jekk il-ħtieġa hija restrizzjoni fil-livell tal-frame, din tappartjeni lill-filtrazzjoni tal-pont, mhux lil regola tat-tabella IP.

Ippruvah mill-bidu sat-tmiem, imbagħad ippreservah

Qajjem klijent wieħed u ping xi ħaġa fuq il-LAN tas-server; dak il-passaġġ iħarreġ il-forwarding mingħajr ebda traduzzjoni. Wara dan, itlob xi ħaġa pubblika biex ir-regola masquerade tkun trid tintuża, u aqra l-counter għal darba oħra: għandu jiċċaqlaq għal dan it-test u mhux għall-preċedenti. Qabda meħuda fuq l-apparat tat-tunnel turi kemm fejn jidher il-frame kif ukoll liema indirizz qed iġorr.

L-aħħar pass: daħħal ir-regoli li jaħdmu fil-konfigurazzjoni li taqra r-restart, u nnota l-isem tal-apparat li l-pont ta' dan il-host fil-fatt juża. Kull ma jinkiteb bl-idejn jisparixxi wara r-restart, u l-istess falliment jerġa' lura bla xejn x'jispjegah.

Jekk il-counter għadu ma jiċċaqlaqx wara l-kitba mill-ġdid, qabbel il-firxa tas-sors fir-regola mal-indirizz li l-klijent fil-fatt irċieva, għax server b'pont jista' jagħti indirizzi minn firxa li ma kellkx f'moħħok.