L-handshake tal-PiVPN jaħdem, il-paġni jieqfu: iċċekkja l-MASQUERADE

It-telefon tiegħek juri l-mina bħala konnessa, il-klijent jirrapporta indirizz privat, u l-ewwel paġna għadha mdendla f’nofs it-tagħbija. Din il-kombinazzjoni tibgħat il-biċċa l-kbira tan-nies lejn is-settings taċ-ċifrar u t-temperatura tas-CPU, fejn fil-verità m’hemm xejn ħażin. Il-mina qamet, allura n-negozjar tlestiet; dak li falla huwa l-pass ta’ wara, meta s-server jipprova jgħaddi l-pakketti tal-klijent lill-internet. Imxi l-istess triq li jieħdu dawk il-pakketti, u n-nuqqas ta’ qbil normalment jidher f’linja waħda tat-tabella NAT.

Ibda minn dak li l-klijent jista’ u ma jistax jilħaq

Mill-klijent konness, għabbi paġna li tgħix fuq l-internet pubbliku u innota jekk tfallix minnufih jew tieqaf f’nofs triq. Imbagħad iftaħ riżorsa fuq l-indirizz privat tas-server VPN stess u qabbel iż-żewġ riżultati.

Indirizz tal-mina li jwieġeb għall-ping waqt li s-siti pubbliċi jispiċċaw il-ħin huwa s-sinjal ta’ problema ta’ trażmissjoni jew traduzzjoni, mhux ta’ handshake maqsum. Il-pannell tal-istat tal-klijent innifsu ma jistax jiddistingwihom, għax jaf biss li l-kanal tal-kontroll qiegħed fuq. Iċċekkja fuq is-server l-interface tal-mina b’dan il-kmand: ip -br addr show tun0 u kkonferma li l-indirizz mogħti lill-klijent jaqa’ fil-pool li kkonfigurajt. Jekk il-pool u l-indirizz tal-klijent ma jaqblux, sewwi dak l-ewwel, għax kull regola hawn taħt taqbel mal-pool.

Imbagħad, staqsi lis-server liema interface juża biex jilħaq indirizz pubbliku. ip route get 203.0.113.9 jistampa l-apparat u s-sors magħżula fl-ewwel linja tiegħu. Ikteb l-isem ta’ dak l-apparat, għax dak huwa l-valur li r-regola NAT trid ikun fiha.

Aqra r-regola li tiddeċiedi jekk il-pakketti joħorġux

MASQUERADE jikteb mill-ġdid pakkett biss meta l-pakkett joħroġ mill-interface msemmija fir-regola. Regola limitata għal apparat bil-wajer ma tagħmel xejn għat-traffiku li joħroġ bil-Wi-Fi, u l-pakkett iżomm l-indirizz tas-sors privat tiegħu sax-router ta’ fuq. Dak ir-router m’għandux rotta lura lejn il-pool tal-mina tiegħek, għalhekk jarmi t-tweġiba, u l-klijent jara konnessjoni li tiftaħ u mbagħad tmut. Is-sintomu jikber skont kemm tal-paġna tasal qabel ma tkun meħtieġa l-ewwel tweġiba.

Elenka t-tabella ħajja u aqra l-kolonna tal-interface tal-ħruġ minflok ma tfittex biss il-kelma MASQUERADE. Il-ħruġ fil-forma taż-żieda huwa eħfef biex tqabblu minn lista fformattjata:

ip -br addr show tun0
ip route get 203.0.113.9
sudo iptables -t nat -S POSTROUTING

Fuq Raspberry Pi li darba uża l-Ethernet u issa juża l-Wi-Fi, l-isem antik huwa kważi dejjem l-istorja kollha. L-installer irreġistra liema apparat kien preżenti waqt is-setup, u s-sett ta’ regoli maħżun jerġa’ jilgħabha f’kull boot. Qabbel l-apparat mit-tfittxija tar-rotta ma’ dak fir-regola qabel ma tbiddel xi ħaġa oħra. Jekk jaqblu, l-interface mhix il-problema tiegħek u għandek tmur għall-kontaturi fl-aħħar sezzjoni. Jekk differenti, il-korrezzjoni hija modifika ta’ kelma waħda fil-fajl tal-persistenza.

Sewwi s-sett ta’ regoli maħżun, mhux biss dak li qed jaħdem

L-editjar tat-tabella ħajja biss idum sax-restart li jmiss, li huwa eżattament biżżejjed biex jikkonvinċik li l-problema hija solvuta. Ir-regoli li jiġu lura fil-boot jgħixu f’fajl li pakkett ta’ persistenza tal-firewall jerġa’ jgħabbi. Fuq immaġini Pi bbażati fuq Debian dak il-fajl normalment huwa /etc/iptables/rules.v4.

Ħu kopja qabel ma tmissu, imbagħad ibdel l-interface tal-ħruġ fil-linja MASQUERADE bl-apparat li ktibt, per eżempju -o wlan0 minflok -o eth0. Ħalli l-firxa tas-sors kif inhi, sakemm il-pool tal-klijenti tiegħek ma nbidilx. Erġa’ għabbi u kkonferma li r-regola issa ssemmi l-apparat it-tajjeb:

sudo cp /etc/iptables/rules.v4 /root/rules.v4.bak
sudo iptables-restore < /etc/iptables/rules.v4
sudo iptables -t nat -L POSTROUTING -v -n

Żewġ settings ġirien huma faċli biex tinsihom. sysctl net.ipv4.ip_forward irid jirrapporta 1, u r-router ta’ fuq m’għandux jiffiltra l-indirizzi tas-sors privati waħdu.

Ipprova li r-regola tinxtegħel, imbagħad iżola x’għadu bil-mod

Il-kontaturi huma l-unika prova onesta li regola qabdet. Mexxi l-lista dettaljata, ibda download fuq il-klijent u erġa’ mexciha. Il-kolonni tal-pakketti u l-bytes ħdejn ir-regola tiegħek għandhom jogħlew, u regola li tibqa’ f’żero għadha ma taqbilx. Jekk il-kontaturi jiċċaqilqu imma l-paġni għadhom ifallu, qabbel il-firxa tas-sors mal-pool attwali permezz ta’ grep -n "^server " /etc/openvpn/server.conf. Jekk jiċċaqilqu u l-paġni jgħabbu imma l-throughput huwa fqir, it-traduzzjoni tlestiet u l-problema li fadal hija x’imkien ieħor.

Qabbel żewġ trasferimenti mill-istess klijent, wieħed lejn host fuq in-netwerk lokali u wieħed mill-mina lejn l-istess host. Bil-mod fiż-żewġ każi jindika l-link ta’ fuq tal-Pi jew il-konnessjoni Wi-Fi, mhux il-VPN. Bil-mod biss mill-mina jindika l-MTU u t-trasmissjonijiet mill-ġdid, li tista’ teżaminahom permezz ta’ ip -s link show tun0 qabel ma tbiddel xi setting taċ-ċifrar.

Biex tħassar l-esperiment, erġa’ stabbilixxi l-kopja u għabbiha mill-ġdid, imbagħad ikkonferma li r-regola oriġinali u l-kontaturi tagħha ġew lura. Ikteb l-apparat tal-ħruġ u l-kmand tat-tagħbija mill-ġdid fin-noti tas-server, għax il-bidla li jmiss fil-link ta’ fuq se terġa’ ssib l-istess nuqqas ta’ qbil. Regola li ssemmi l-apparat ħażin tibqa’ inviżibbli sakemm it-traffiku jkollu bżonha.