Router LAN u klijent VPN: żewġ apparati, żewġ tabelli tar-rotot

Żewġ apparati jgħaddu l-pakkett ’il quddiem u kull wieħed iżomm it-tabella tiegħu. Ir-router LAN jaf li l-prefiss imbiegħed jappartjeni lill-klijent VPN, u l-klijent VPN jaf kif jilħaq dak il-prefiss permezz tat-tunnel tiegħu. Ikkonfigura biss l-ewwel tabella u l-pakkett jasl f’magna li m’għandhiex rotta li taqbel, għalhekk joħroġ mill-ġdid permezz tal-predefinita. Dan huwa l-ħsara kollha, u min-naħa tal-LAN jidher bħala ċirkwit tar-rotot, għax kważi huwa.

Iġbed iż-żewġ hops qabel ma tmiss rotta

Ħu tqassim illustrattiv: hosts LAN fuq 192.168.50.0/24, ir-router tas-soltu fuq 192.168.50.1, klijent iddedikat fuq 192.168.50.15, u LAN imbiegħda fuq 10.60.0.0/24 aċċessibbli biss permezz tat-tunnel li jżomm dak il-klijent. L-ebda mill-ishma privati t-tnejn ma jissoverpożi mal-ieħor, u t-tunnel għandu l-pjan tal-indirizzi tiegħu.

Iż-żewġ firxiet privati jgħoddu għax jiddeċiedu liema apparat jista’ jwieġeb. In-naħa l-imbiegħda se tara l-pakkett ġej mill-indirizz tat-tunnel tal-klijent, u t-tweġiba tiegħu trid issib triq lura għal 192.168.50.0/24. Jekk hija kkonfigurata biss id-direzzjoni ’l barra, it-talba tista’ taħdem filwaqt li t-tweġiba tispiċċa.

Pass 1: dawwar ir-router lejn il-klijent, mhux lejn it-tunnel

Fuq ir-router LAN, żid rotta tad-destinazzjoni li l-hop li jmiss tagħha huwa l-indirizz LAN tal-klijent:

ip route add 10.60.0.0/24 via 192.168.50.15
ip route get 10.60.0.55

Dak ir-rekord jgħid “wassalha lill-magna li tista’ tagħmel tunnel”. Ma jgħid xejn dwar kif jinbena t-tunnel, u mhuwiex sostitut għar-rotta tal-klijent stess. Fuq router immaniġġjat l-ekwivalenti jgħix fil-paġna tar-rotot statiċi tal-apparat; fuq router Linux jappartjeni għall-konfigurazzjoni tal-interface li tippossjedi l-LAN, mhux f’shell li se tagħlaq.

Iċċekkja t-tweġiba tat-tieni kmand. Jekk tirrapporta lill-klijent bħala gateway u l-interface LAN bħala device, l-ewwel hop huwa korrett u x-xogħol li jifdal jinsab fil-magna l-oħra.

Pass 2: agħti lill-klijent rotta tiegħu fuq in-naħa tat-tunnel

Il-klijent issa jirċievi pakkett għal 10.60.0.0/24 u jħares fit-tabella tiegħu. Jekk il-konfigurazzjoni tat-tunnel tiegħu installat rotta għal dak il-prefiss, il-pakkett ikompli kriptat. Jekk le, il-pakkett jaqbel mal-predefinita tas-soltu u jmur lura għal 192.168.50.1, li jibgħatha mill-ġdid lill-klijent.

Ħares qabel ma żżid xi ħaġa:

ip route show table all | grep -E "10\.60\.0\.0/24|default"
sysctl net.ipv4.ip_forward

Rotta tal-prefiss nieqsa fit-tabelli kollha hija s-sejba li qed tfittex. Żidha permezz tal-konfigurazzjoni tat-tunnel stess, sabiex ir-rikonnessjoni li jmiss terġa’ tinstallaha; ip route add manwali tisparixxi mas-sessjoni u ġġib il-ħsara lura fl-inqas mument konvenjenti. Il-hop li jmiss huwa l-interface tat-tunnel jew l-indirizz li l-VPN jassenja bħala s-sieħeb tiegħu, skont il-klijent, u l-indirizz tas-sieħeb għandu jiġi mill-profil kurrenti u mhux minn nota qadima.

Il-linja ċirkolari, meta sseħħ, fil-prattika mhijiex infinita: it-TTL jonqos f’kull passaġġ u l-pakkett imut b’messaġġ ta’ ħin maqbuż. Huwa għalhekk li traceroute ripetut jista’ jissuġġerixxi ċiklu filwaqt li klijent li sempliċement mhux qed jgħaddi ’l quddiem iwaddab l-istess pakkett fis-skiet.

Pass 3: ippermetti l-ipproċessar u agħżel it-triq lura

Ir-riċeviment u l-ipproċessar huma permessi differenti. net.ipv4.ip_forward=1 fuq il-klijent jippermetti t-transitu fil-livell tal-kernel, u regola tal-firewall xorta trid tippermettih bejn l-interface LAN u t-tunnel. Regola li tippermetti aċċess għall-paġna tal-amministrazzjoni tal-klijent stess mhux se tippermetti transitu lejn il-LAN imbiegħda, u d-distinzjoni hija faċli li tinqabeż meta l-istess host iwieġeb pings lokalment.

In-naħa l-imbiegħda għandha l-problema tal-mera. Trid tkun taf li 192.168.50.0/24 hija aċċessibbli permezz ta’ dan il-klijent awtentikat. Ma’ OpenVPN dan normalment ifisser rotta għal kull klijent li tinġieb ’il quddiem mill-konfigurazzjoni tas-server, jew fajl speċifiku għall-klijent fuq is-server li jiddikjara l-LAN wara l-klijent. Mingħajr dan, il-LAN imbiegħda jew twaddab it-tweġiba jew tibgħatha lill-gateway predefinita tagħha stess, jiġifieri l-internet.

It-traduzzjoni tas-sors hija l-alternattiva meta l-prefiss LAN ma jistax jiġi mgħarraf. Regola masquerade b’ambitu fuq il-klijent terġa’ tikteb is-sors fl-indirizz tat-tunnel, u t-tweġibiet imbagħad jerġgħu lura b’mod naturali. Hija wkoll taħbi liema host LAN għamel it-talba, u fiha nnifisha ma tippermettix lin-naħa l-imbiegħda tibda konnessjonijiet ’il ġewwa. Agħżel dan it-tpartit b’mod deliberat minflok ma żżid masquerade sħiħa u tiskopri l-effett sekondarju aktar tard.

Pass 4: agħmel iż-żewġ deċiżjonijiet permanenti, imbagħad ittestja t-triq vera

Kull rotta għandha sid, u s-sid hija l-konfigurazzjoni li terġa’ tiġġenera mal-boot jew mar-rikonnessjoni. Fuq ir-router din tista’ tkun entrata ta’ rotta statika; fuq il-klijent tista’ tkun il-profil VPN, NetworkManager jew systemd-networkd. Ivverifika billi terġa’ tqabbad it-tunnel u terġa’ tibda l-klijent, imbagħad aqra t-tabella mill-ġdid minflok tafda l-modifika.

Żomm intatta r-rotta predefinita li ġġorr il-konnessjoni ta’ barra tat-tunnel. Li tissostitwiha biex “tissimplifika” s-setup tikser it-triq kriptata qabel ma xi traffiku intern ikun jista’ jużaha, u s-sintomu huwa tunnel li qatt ma jerġa’ jiġi stabbilit wara l-bidla.

Ittestja minn host LAN tas-soltu, mhux mill-klijent, għax talba li tinbeda fuq il-klijent qatt ma teżerċita l-ewwel hop tar-router. Ġib servizz li jeżisti biss fuq il-LAN imbiegħda u kkonferma l-ġisem tat-tweġiba, imbagħad ħares lejn il-counters jew il-logs tal-klijent biex tara t-transitu jiġri. traceroute intern li juri hops privati jipprova l-ipproċessar, mhux il-kriptaġġ: it-triq ta’ barra hija osservazzjoni separata, u biss il-counters tal-interface tat-tunnel stess juru x’ħareġ minnu.