It-tunnel jaħdem, l-internet le: fejn jieqaf il-forwarding

Il-klijent jikkonnettja, it-tunnel iġorr pings lejn il-gateway, u xejn lil hinn minnu ma jwieġeb. Dak l-istat huwa normali għal gateway li qatt ma kellu joffri ħlief aċċess għal netwerks protetti, u huwa ħsara għal wieħed imħabbar bħala ħruġ ta’ tunnel sħiħ. Qabel ma tbiddel ir-regoli, ikkonferma liema servizz kien imwiegħed. Imbagħad segwi talba pubblika waħda permezz tal-erba’ postijiet fejn tista’ tieqaf. Talba waħda u qabda waħda ta’ pakketti jsolvu iktar minn paġna ta’ preżunzjonijiet.

Ikkonferma jekk il-ħruġ lejn l-internet kienx id-disinn

Profil ta’ tunnel maqsum jgħaddi biss is-subnets protetti fil-VPN, għalhekk l-ibbrawżjar pubbliku jkompli fuq il-link lokali u qatt ma jmiss il-gateway. Profil ta’ tunnel sħiħ jinstalla rotta awtomatika fit-tunnel, u b’hekk il-gateway isir responsabbli għall-passaġġ kollu. It-tnejn huma disinji leġittimi, u li tħallathom flimkien tipproduċi rapport ta’ ħsara fejn m’hemmx waħda. Aqra r-rotot imħabbra mill-klijent qabel ma tittestja xi ħaġa oħra, għax it-tabella tar-rotot twieġeb il-mistoqsija li l-biljett normalment iqiegħed ħażin.

Dak li jinstalla l-klijent mhuwiex dejjem dak li jbeħsieb il-profil. Rotta mbuttata tista’ tiġi megħluba minn rotta lokali b’metrika iżgħar, u klijent li jżomm ir-rotta LAN tiegħu waqt li jżid rotta awtomatika jġib ruħu bħal tunnel maqsum għal dak is-subnet.

Segwi talba pubblika waħda

Agħżel destinazzjoni waħda u segwiha mill-klijent ’il barra. Fuq il-klijent, iċċekkja li l-pakkett tassew jagħżel it-tunnel u liema indirizz lokali juża bħala sors. Imbagħad iċċekkja l-gateway: il-pakkett jasal, u joħroġ mill-interface pubblika. Kull waħda minn dawn it-tweġibiet tneħħi kategorija sħiħa ta’ kawżi.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Jekk il-gateway qatt ma jara l-pakkett, ir-rotta tal-klijent jew l-għażla tat-tunnel hija ħażina. Jekk jasal u ma joħroġx, il-problema tinsab fuq il-gateway, u japplikaw it-tliet kontrolli li jifdal.

Iċċekkja l-forwarding, ir-rotta u t-traduzzjoni

Il-gwida tal-forwarding li tiġi ma’ strongSwan tapplika għal gateway ta’ kull tip ta’ tunnel: il-kernel irid ikun permess jimxi pakketti bejn l-interfaces, u rotta użabbli trid tpointa lejn l-internet. Il-politika tal-firewall imbagħad trid tippermetti t-traffiku, u l-indirizz tas-sors irid ikun wieħed li n-naħa pubblika tista’ twieġeb. Indirizz privat tal-klijent li jiġi mgħoddi bla tibdil lejn l-internet qatt ma jirċievi risposta.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

It-traduzzjoni tas-sors hija l-biċċa nieqsa tas-soltu. Biha, il-gateway jerġa’ jikteb is-sors tal-klijent għall-indirizz pubbliku tiegħu u jsegwi l-fluss; mingħajrha, ir-risposta ma għandhiex fejn tmur. Il-pjattaformi tal-cloud iżidu t-tieni konfini, fejn it-tabella tar-rotot jew il-grupp tas-sigurtà tal-istanza jistgħu jwarrbu traffiku li l-firewall tal-mistieden jippermetti. Dak il-konfini huwa faċli li taqbeż, għax is-sistema tal-mistieden tidher ikkonfigurata sew minn ġewwa.

Il-filtrazzjoni tal-passaġġ invers f’konfigurazzjoni asimmetrika tista’ wkoll twarrab pakketti validi. Aqra l-kontatur ta’ dik ir-regola minflok ma tassumi li hija tajba, għax setting strett fuq l-interface pubblika jirrifjuta traffiku li jasal minn passaġġ differenti minn dak li tbassar it-tabella tar-rotot.

Il-passaġġ tar-risposta u r-resolver huma żewġ tweġibiet differenti

Innota r-risposta kif ukoll it-talba. Jekk it-talba toħroġ tradotta u r-risposta terġa’ lura għall-fluss tradott, il-forwarding jaħdem anke meta l-applikazzjoni għadha tfalli, u l-investigazzjoni li jmiss tappartjeni lill-applikazzjoni jew lid-DNS.

Sit li jirritorna żball HTTP huwa prova li l-forwarding lejn l-internet jaħdem. Isem li ma jiġix solvut waqt li l-aċċess bl-indirizz jaħdem huwa problema tar-resolver, mhux tal-NAT.

Wara korrezzjoni dejqa, erġa’ ttestja l-klijent flimkien ma’ kull riżorsa privata ristretta apposta. L-għoti ta’ aċċess għall-internet m’għandux iwessa’ bil-kwiet l-aċċess għal kull netwerk imqabbad mal-gateway.