Il-VPN tar-router taħdem, iżda l-klijenti LAN m'għandhomx internet

L-istat jgħid li t-tunnel huwa attiv, il-browser fuq ir-router stess jillowdja l-paġni, u kull apparat warajh xorta għaddej iż-żmien. Dan il-kombinament jissikka l-problema għal saff li ħafna gwidi tal-VPN qatt ma jsemmu: ir-router mhuwiex l-uniku host li l-pakketti tiegħu jeħtieġu jgħaddu mit-tunnel. It-traffiku ġġenerat lokalment u t-traffiku mgħoddi jieħdu toroq differenti fl-istess kaxxa. Ipprova minn klijent u d-differenza tieqaf tkun teoretika.

Aqra l-falliment minn host LAN

Ibda mill-apparat li jfalli, għax dijanjosi fuq ir-router twieġeb mistoqsija oħra. Ikkonferma li l-gateway default tal-klijent huwa dan ir-router, innota l-indirizz tas-sors u s-subnet tiegħu, imbagħad ħares lejn x'joħroġ mill-interface tat-tunnel tar-router.

Jekk l-indirizz tal-klijent jiġi tradott, in-naħa remota tara l-indirizz tat-tunnel, u minn hemm kollox jidher f'saħħtu waqt li l-klijent xorta jfalli. Jekk ma jiġix tradott, in-naħa remota trid taf rotta lura għas-subnet tal-klijent, u ħafna gateways m'għandhomx rotta bħal din b'mod default. Kif inhu, is-suċċess tar-router innifsu mhuwiex rilevanti, għax il-pakketti tiegħu ġew ġġenerati lokalment u qatt ma għaddew mit-triq tal-forwarding.

It-traffiku lokali u t-traffiku mgħoddi huma differenti

Linux u ħafna firmware tar-router jittrattaw pakketti li joriġinaw mill-kaxxa b'mod differenti minn pakketti li jgħaddu minnha. Il-katina output tara l-ewwel tip, il-katina forward tara t-tieni, u politika mfassla għat-traffiku tar-router stess tista' tħalli l-forwarding mingħajr ma tmissu.

sysctl net.ipv4.ip_forward
ip -4 address show br-lan
ip route get 203.0.113.9
nft list ruleset | grep -A 6 'chain forward'

Iċċekkja jekk il-forwarding huwiex attivat, imbagħad aqra l-katina forward minflok il-katina output. Regola li tippermetti l-konnessjoni esterna kriptata mhijiex regola li tippermetti li pakketti dekriptati jiġu mgħoddija, u li tħallat it-tnejn tipproduċi eżatt dan is-sintomu. Li t-tunnel ikun attiv jipprova biss l-ewwel waħda.

It-triq tal-qawmien trid teżisti wkoll

It-traduzzjoni tas-sors tiddeċiedi jekk triq tal-qawmien hijiex meħtieġa. Bil-masquerading fuq l-interface tat-tunnel, it-tweġibiet jerġgħu lura lejn l-indirizz tat-tunnel u r-router jittraducċihom lura. Mingħajrha, il-gateway remota teħtieġ rotta espliċita lejn is-subnet tal-klijent, u l-politika tagħha stess trid tippermetti dik id-direzzjoni.

Innota liema mid-due disinni qed juża l-iskjerament qabel ma tibdel xejn, għax it-tiswijiet iwasslu f'direzzjonijiet opposti. Iż-żieda tat-traduzzjoni taħbi rotta tal-qawmien neqsha u tkisser applikazzjonijiet li jeħtieġu l-indirizz tas-sors oriġinali. Iż-żieda ta' rotta tal-qawmien mingħajr traduzzjoni tfalli fis-skiet meta l-firewall remota twarrab is-sors mhux familjari. Agħżel waħda, iddokumentaha u ġġib in-naħa l-oħra taqbel.

Id-DNS tal-klijent jaqa' fl-istess reviżjoni. Ir-resolver tar-router jista' jwieġeb waqt li klijent indirett lejn server ieħor ma jieħu xejn.

Ivverifika fluss wieħed permess u fluss wieħed miċħud

Wara l-korrezzjoni, ipprova konnessjoni ġdida minn klijent minflok sessjoni eżistenti tar-router. Imbagħad ikkonferma li segment li m'għandux juża t-tunnel għadu ma jużahx.

curl -sS --max-time 8 https://api.ipify.org
ip route get 203.0.113.9
dig +short intranet.example.net

Iċċekkja l-indirizz tas-sors osservat fit-tarf remot, għax dan jgħidlek liema disinn qed jaħdem verament. Ivverifika tfittxija tal-isem kif ukoll indirizz, għax l-imġiba tar-resolver hija triq separata mill-istess kaxxa.

Żomm ir-regoli limitati għan-networks tal-klijenti li jeħtieġu t-tunnel, u tippruvax tiddiżattiva l-filter tal-forwarding biex jgħaddi test wieħed. Dik il-bidla ssewwi t-test u tneħħi l-konfini li t-tunnel kien maħsub li jipprovdi. Ikteb l-indirizz tas-sors, id-deċiżjoni tat-traduzzjoni u r-rotta tal-qawmien f'nota waħda, bid-data.