Il-klijenti LAN jinjoraw il-VPN tar-router sakemm jiġi attivat ir-routing tal-politika

Ir-router jasal għall-internet permezz tal-mina tiegħu, filwaqt li laptop warajh għadu jirrapporta l-indirizz tal-ISP. Iż-żieda ta' regoli tal-aċċettazzjoni ma tgħinx, u dan il-falliment huwa ta' tagħlim: il-filtraġ jirrispondi jekk pakkett jistax jgħaddi, mhux fejn sejjer. L-għażla tal-interface diġà saret minn tfittxija tar-routing li ma taf xejn dwar il-lista tal-klijenti tiegħek. Sejjaħ it-tfittxija u l-firewall m'għadux is-suspettat.

Regola tal-filtru ma tistax tagħżel interface

Il-fluss tal-pakketti fuq router Linux iwettaq l-ewwel id-deċiżjoni tar-routing u mbagħad il-ganċ forward. Meta regola taqbel mal-apparat tal-mina li joħroġ, il-kernel diġà ddeċieda li l-mina hija t-triq il-barra. Jekk it-tabella prinċipali għadha tippreferi r-rotta default tal-WAN, il-pakkett qiegħed fi triqtu lejn l-ISP u r-regola tal-aċċettazzjoni li għadek ktibt qatt ma tarah. Dan il-fatt wieħed tal-ordni jispjega għaliex paġna ta' regoli ġodda tal-firewall ma tbiddel xejn.

L-eżempju hawn taħt juża LAN ta' 192.168.8.0/24 fuq br-lan, apparat tal-mina tun0, u sett-top box wieħed f'192.168.8.23 li għandu juża l-mina.

Aqra t-tfittxija qabel ma teditja r-regoli

Itlob lill-kernel isolvi rotta f'isem dak il-klijent. It-tweġiba tinkludi l-apparat li joħroġ u l-indirizz tas-sors li jintgħażel, u dan huwa kollox li għandek bżonn biex tikkoferma d-dijanjosi. Jekk it-tweġiba ssemmi l-apparat tal-WAN, il-pakkett qatt ma kellu ċ-ċans jasal għar-regola tiegħek.

ip -4 route get 198.51.100.7 from 192.168.8.23

Irrepeti l-mistoqsija għal klijent li għandu jibqa' fit-triq tas-soltu. Meta ż-żewġ tweġibiet isemmu l-istess apparat, għadha m'hemmx politika skont is-sors, u t-tiswija tappartjeni lir-routing mhux lill-filtraġ.

Qabbad tabella mal-klijenti li trid tkopri

Ir-routing tal-politika jdaħħal tfittxija tar-regoli qabel it-tabella prinċipali. Ibni tabella li r-rotta default tagħha hija l-mina, imbagħad qabbad dik it-tabella ma' selettur: interface tad-dħul, indirizz tas-sors jew marka tal-firewall. Il-prijoritajiet jiddeterminaw l-ordni, u t-tabella prinċipali tinsab isfel ħafna fil-lista f'32766, għalhekk regola b'numru baxx tiġi kkonsultata l-ewwel. Is-seletturi tal-interface ikopru kull klijent fuq il-pont; is-seletturi tal-indirizz ikopru magna waħda.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

L-interfaces tal-firmware normalment juru l-istess oġġetti bħal paġna tar-routing tal-politika jew tal-politika tal-VPN. Lista tal-apparati hemmhekk hija eħfef biex tinżamm minn regoli miktuba bl-idejn u normalment tibqa' teżisti wara aġġornamenti li jbiddlu s-sintassi tar-regoli.

Agħżel is-selettur apposta. Regola tal-interface hija qasira u tajba għall-futur, iżda taqbad ukoll it-traffiku tal-ġestjoni tar-router stess li jasal fuq dak il-pont. Regola tas-sors hija preċiża u teħtieġ editjar kull meta tinbidel il-lista tal-apparati. Ikteb l-għażla, għax il-persuna li jmiss li tistaqsi għaliex apparat iġib ruħu b'mod differenti se jkollha bżonha.

Żomm id-destinazzjonijiet lokali barra mill-mina

Tabella ġdida taf biss ir-rotot li tpoġġi fiha. Il-prefiss tal-LAN jonqos, għalhekk it-traffiku tal-printer u tan-NAS kien isegwi r-rotta default tal-mina u jisparixxi. Rotta throw ittemm it-tfittxija f'din it-tabella u tirritorna d-deċiżjoni lit-tabella prinċipali.

ip -4 route add throw 192.168.8.0/24 table 200

Jekk taqbeż dik ir-rotta, il-qsim lokali jinqasam, u s-sessjoni tal-ġestjoni tar-router stess tista' tisparixxi jekk is-selettur huwa usa' milli maħsub. Imbagħad solvi l-kwistjoni tas-sors: il-pakketti tal-mina li għadhom iġorru indirizzi LAN jeħtieġu li n-naħa l-oħra tkun taf triq tar-ritorn, filwaqt li l-masquerading fuq il-mina jneħħi dik il-kundizzjoni u jneħħi wkoll l-identità tal-klijent li n-naħa l-oħra tara.

Regoli u rotot miżjuda waqt it-tħaddim jisparixxu wara restart jew aġġornament tal-firmware. Żidhom mal-mekkaniżmu tal-bidu tar-router, erġa' ibda darba, u erġa' ttestja mill-klijent: l-indirizz pubbliku tiegħu, it-tieni klijent li għandu jibqa' fuq il-WAN, u l-kontaturi tal-mina waqt konnessjoni ġdida.