Il-klijent VPN rrutat jilħaq is-server imma mhux l-ospiti tal-LAN

Klijent rrutat jista' jikkonnettja u xorta jitlef kull tweġiba minn ospitu tal-LAN. Żid ir-rotta tar-ritorn fuq il-gateway, imbagħad iċċekkja l-ibbundjar u l-filtrazzjoni tal-pakketti.

It-tunnel jogħla, il-klijent jagħmel ping lis-server VPN, u kondiviżjoni fuq magna pass wieħed 'il bogħod qatt ma twieġeb. Xejn fil-konfigurazzjoni tal-klijent ma jispjega dan, għax it-talba tassew ħarġet mill-klijent u tassew waslet. Dak li falla huwa l-vjaġġ lura, u l-apparat li falla normalment hija l-gateway tal-LAN u mhux l-ospitu VPN. L-intraċċar tal-pakkett tat-tweġiba jispjega din il-klassi kollha ta' sintomi.

Segwi t-Tweġiba, Mhux it-Talba

Is-server VPN jiddeċifra l-pakkett tal-klijent u jibgħatu lejn il-LAN bl-indirizz tal-klijent għadu fil-qasam tas-sors. L-ospitu tad-destinazzjoni jwieġeb dak l-indirizz, u issa t-tabella tar-rotot tiegħu stess tiddeċiedi kollox. Il-gateway awtomatiku tiegħu ma jafx xejn dwar il-pool tat-tunnel, għalhekk it-tweġiba toħroġ lejn il-fornitur tal-internet u tintefa' x'imkien tul dak il-perkors.

Fil-klijent is-sintomu huwa timeout sieket: ebda rifjut, ebda reset, sempliċement xejn. Il-browsing ta' kondiviżjoni jinqabad, il-ping jirrapporta ebda tweġiba, u l-logs tas-server jidhru sħaħ għax is-server għamel xogħlu.

Qiegħed ir-Rotta tar-Ritorn Fejn Jħarsu l-Ospiti

Kull ospitu tal-LAN jikkonsulta l-gateway awtomatiku tiegħu, għalhekk il-gateway huwa l-uniku apparat li għandu jkun jaf fejn tinsab il-pool tat-tunnel. Żid rotta statika hemm u kull ospitu jiret il-perkors korrett mingħajr ma jiġi mimsus.

Jekk il-gateway iqassam l-indirizz tiegħu bħala għażla DHCP, qassam ir-rotta b'dan il-mod sabiex magni ġodda jaqbduha awtomatikament. Inkella r-rotta tgħix fi fajl ta' konfigurazzjoni wieħed u tisparixxi fl-erja kostruzzjoni li jmiss.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Għaliex in-NAT tas-Sors Jidher li Jsewwi

Il-maskerar tal-pool tal-klijenti wara l-indirizz tas-server VPN ineħħi l-problema billi jneħħi l-indirizz tal-klijent mill-pakkett. It-tweġibiet imbagħad jiġu lura għas-server, li diġà jaf kif jilħaq it-tunnel, u kollox jaħdem. L-ispiża hija li l-ospiti interni ma jistgħux jaraw aktar min hu l-klijent, u kull konnessjoni tidher li ġejja minn magna waħda.

Dan l-iskambju kultant huwa korrett, pereżempju meta apparat tal-fornitur ma jistax jingħata rotta statika. Tagħmilx ir-regola usa' mill-pool attwali, għax regola miktuba għal /24 tieqaf taqbel fil-jum li l-pool jiġi nnumerat mill-ġdid għal /16, u l-ewwel sinjal huwa grupp ta' klijenti ġodda li jikkonnettjaw u ma jilħqu xejn.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Il-Perkors tal-Cloud Jeħtieġ Tliet Settings

F'VPC l-istess vojt jerġa' lura f'forma oħra, għax is-subnet m'għandux rotta għall-medda tal-klijenti xejn. It-tabella tar-rotot teħtieġ entrata għall-pool tat-tunnel li timmira l-interface tan-netwerk tal-istanza, u l-interface jeħtieġ li jkollha l-kontroll tas-sors u tad-destinazzjoni mitfi sabiex il-pjattaforma taċċetta pakketti li s-sors tagħhom mhuwiex l-indirizz tagħha stess. Il-gruppi tas-sigurtà u l-ACLs tan-netwerk iridu wkoll jammettu l-pool fiż-żewġ direzzjonijiet.

Kull tħalli barra jipproduċi falliment parzjali differenti. Ħalli barra l-entrata tat-tabella tar-rotot u l-istanzi privati jwieġbu fi subnet li ma jistax iġorr it-tweġiba lura lejn il-pool. B'kontroll għadu mixgħul, il-pjattaforma tarmi t-tweġiba wara li l-istanza tkun diġà bagħtitha. Mingħajr ir-regola tal-grupp tas-sigurtà t-talba nnifisha qatt ma tasal, u l-klijent jara l-timeout saff qabel.

Mexxi l-Kontrolli f'dan l-Ordni

Ikkonferma l-ibbundjar u l-politika tal-filtrazzjoni qabel ma tagħti t-tort lir-routing, għax ospitu li mhux se jbundlejja jfalli bl-istess mod sieket. Imbagħad aqra s-setting effettiv tal-perkors lura fuq l-interface li ġġorr it-tunnel, għax filtru strett jista' jarmi tweġibiet li jaslu minn direzzjoni mhux mistennija.

Iffinalizza b'qabda meħuda fuq l-ospitu tal-LAN waqt li l-klijent ikun qed jagħmel ping miegħu. Talba li tasal mingħajr tweġiba li taqbel tipprova l-perkors lura, u talba li qatt ma tasal tmur il-ħtija lura lejn is-server jew it-tunnel.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Il-kontroll tas-sors u tad-destinazzjoni huwa dokumentat fil- gwida tal-interface tan-netwerk elastiku. Issettjaha fuq l-interface li tassew iġġorr it-traffiku tat-tunnel, mhux fuq adapter mhux relatat imwaħħal mal-istess istanza.

Artikli relatati