Aċċess għal-LAN permezz tal-OpenVPN miksur? Iċċekkja ż-żoni, ir-rotot u t-triq lura

It-tunnel jirrapporta konnessjoni b'suċċess, il-paġna tar-router stess tgħabbi, u l-immappjar tad-drajv għal magna warajh xorta jiskadi. Xejn f'din il-kombinazzjoni mhu kontradittorju: ir-router qed iwieġeb bħala hu stess, u li tasal għal xi ħaġa warajh hija deċiżjoni oħra meħuda f'post ieħor. Agħmel il-verifiki hawn taħt fl-ordni u waqaf fl-ewwel falliment, għax kull wieħed jistrieħ fuq dak ta' qabel. Meta l-erbgħa jgħaddu kollha, il-ħsara tkun fuq it-tunnel u mhux fih.

Liema filtru jara pakkett sejjer lejn il-LAN

Pakkett indirizzat lir-router jiġi kkunsmat lokalment; pakkett indirizzat lil host warajh irid jiġi trażmess, u l-firewalls jiġġudikaw dawn iż-żewġ każijiet separatament. Għalhekk il-permess biex tasal għar-router ma jgħid xejn dwar il-permess biex taqsam minnu. Il-firmware li jaħbi s-settijiet tar-regoli tiegħu xorta jimplimenta t-tnejn, normalment bħala selettur li joffri l-LAN, l-internet jew it-tnejn. Jekk is-selettur iħalli barra l-LAN, l-ebda verifika aktar tard mhi se tgħodd.

OpenWrt jagħmel din il-qasma verifikabbli, u d-distinzjoni tiswa qari wieħed. Iż-żona li ttemm it-tunnel teħtieġ regola ta' trażmissjoni lejn iż-żona LAN, filwaqt li regola tad-dħul tirregola biss is-servizzi fuq ir-router stess. Paġna ta' amministrazzjoni li taħdem ħdejn LAN mejta hija r-riżultat tas-soltu ta' dik ir-regola ta' trażmissjoni nieqsa.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Ħares lejn il-mira tat-trażmissjoni taż-żona li ġġorr it-tunnel: accept huwa dak li teħtieġ is-sellum, u reject jispjega kull skadenza hawn taħt. Żewġ setting viċini jipproduċu l-istess sintomu, għalhekk eskludihom waqt li int hawn. L-iżolament bla wajer jaħbi l-hosts bil-wajer mill-klijenti bla wajer, u router li jqis hosts LAN inattivi bħala offline jista' jwaddab it-tweġibiet anke wara li t-trażmissjoni taħdem.

Għaliex tunnel maqsum jeħtieġ il-prefiss imbuttat

Klijent li jibgħat it-traffiku kollu mit-tunnel diġà għandu l-prefiss LAN permezz tar-rotta tiegħu tal-bażi, għalhekk m'hemm xejn x'jiżdied. It-tunnel maqsum huwa l-każ li jeħtieġ il-prefiss iddikjarat b'mod espliċitu, għax xejn ieħor fil-konfigurazzjoni ma jsemmih. Żid id-direttiva mal-konfigurazzjoni tas-server u erġa' għabbi s-servizz.

push "route 192.168.50.0 255.255.255.0"

Il-profili li fihom route-nopull jinjoraw ir-rotot imbuttati, għalhekk l-istess prefiss jappartjeni għall-fajl tal-klijent minflok. Fi kwalunkwe każ, ikkonferma li d-dħul wasal minflok ma tassumih, għax sostituzzjoni siekta tidher identika għal problema tal-firewall.

ip route show | grep 192.168.50

Pari site-to-site jitlob aktar minn imbuttar. Is-server irid jitgħallem liema prefissi jinsabu wara dak il-pari, li tagħmel linja iroute fil-fajl client-config-dir tiegħu, u t-tabella tiegħu stess teħtieġ rotta li taqbel fit-tunnel.

It-tweġiba teħtieġ indirizz li tista' tilħaq

It-trażmissjoni tat-talba hija biss nofs skambju, għax il-host tal-LAN irid iwieġeb indirizz fil-ġabra tat-tunnel. Router żgħar normalment jirranġaw dan billi jittraduċu s-sors fuq iż-żona tat-tunnel, hekk it-tweġiba tkun indirizzata lir-router u ma teħtieġx konfigurazzjoni band'oħra. Neħħi dik it-traduzzjoni u l-host jeħtieġ rotta tiegħu lejn il-ġabra, li jieħu b'xejn meta r-router ikun il-gateway tal-bażi tiegħu. Host b'indirizz imqiegħed bl-idejn u gateway ieħor iwieġeb permezz ta' dak il-gateway, u l-klijent jara sessjoni tinfetaħ u mbagħad tieqaf.

tcpdump -ni tun0 host 192.168.50.20

Ħaddem dan fuq ir-router waqt li l-klijent jirrepeti t-talba tiegħu, u aqra d-destinazzjoni tat-tweġiba minflok it-talba. Tweġiba indirizzata lill-ġabra tfisser li t-triq lura taħdem u l-ħsara hija aktar fil-fond. Nuqqas sħiħ ta' tweġiba jfisser li l-host qatt ma aċċetta l-pakkett, li jibgħat lura lejn is-sett tar-regoli.

Sellum li jispiċċa fil-post it-tajjeb

Erba' verifiki jidentifikaw is-saff, u kull waħda hija kmand wieħed u mhux ġudizzju. Ħaddimhom fl-ordni u waqaf fl-ewwel falliment. L-ordni hija aktar importanti mill-kmandi, għax pass aktar tard li jgħaddi jaħbi r-raġuni għaliex wieħed qabel falla.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

L-ismijiet jappartjenu għat-tmiem tas-sellum, qatt għall-bidu. Kondiviżjoni li twieġeb bħala 192.168.50.20 imma mhux bħala nas.local tindika riżoluzzjoni tal-ismijiet jew suffiss tat-tiftix, u l-bidliet fil-firewall ma jistgħu jbiddlu l-ebda waħda.

Innota l-ewwel pass li falla, imbagħad agħti lill-portijiet tas-servizz dawra tagħhom, għax semmiegħ u permess tal-host huma rekwiżiti separati. Il-kondiviżjoni tal-fajls, id-desktop remot u l-flussi tal-kameras kollha jeħtieġu t-tnejn, u firewall tal-host li jafda s-subnet LAN imma mhux il-ġabra tat-tunnel iwarrab il-klijent waqt li ping xorta jirnexxi. Meta l-verifiki kollha jgħaddu u l-applikazzjoni xorta tfalli, il-ħsara hija fuq it-tunnel: servizz marbut ma' interface wieħed, jew prokura konfigurata fuq il-klijent.