Il-klijenti VPN jaslu għas-server imma mhux għal-LAN: liema soluzzjoni?

Il-klijent jagħmel ping għall-indirizz tat-tunnel tas-server OpenVPN u jirċievi tweġiba, imbagħad jipprova host fil-LAN tas-server u ma jirċievi xejn. Dan id-diviżjoni jnaqqas ħafna l-ħsara: it-tunnel huwa mtella', il-forwarding x'aktarx qed jaħdem, u t-tweġiba toħroġ minn bieb li ma jwassalx lura. Hemm tliet soluzzjonijiet, u dik tajba tiddependi minn dak li tikkontrolla u minn dak li lest li tħalli barra. Wieġeb it-tliet mistoqsijiet hawn taħt bl-ordni u l-għażla ma tibqax kwistjoni ta' togħma.

L-ewwel, ikkonferma liema direzzjoni hija miksura

It-talba tasal fuq l-interface tat-tunnel b'indirizz tas-sors mill-pool VPN. Is-server jgħaddiha lill-host fil-LAN, u dak il-host iwieġeb lill-gateway li jneħħi t-tabella tiegħu, normalment ir-router tal-LAN. Jekk ir-router m'għandux rotta lejn il-pool, it-tweġiba tmut hemmhekk jew tiġġerra lejn l-internet.

Ipprova ż-żewġ magni qabel ma tibdel waħda minnhom. Staqsi t-tabella tar-routing fis-server kif tilħaq klijent; staqsi lill-host fil-LAN kif jilħaq l-istess indirizz. L-ewwel tfittxija normalment tindika t-tunnel u t-tieni r-router tal-LAN, u dak id-differenza hija l-ħsara f'linja waħda. Żewġ tfittxijiet jiswew inqas minn verifika tal-firewall u jistabbilixxu d-direzzjoni tal-problema.

ip route get 10.8.0.37
sysctl -n net.ipv4.ip_forward

Jekk il-host fil-LAN diġà jindika s-server VPN, il-problema tiegħek hija regola tal-firewall jew limitu MTU, mhux passaġġ lura nieqes. Tħarisx żid rotta biex issewwi filter.

L-ewwel mistoqsija: tista' tibdel ir-router tal-LAN imbiegħed?

Meta r-router tal-LAN huwa tiegħek, it-tweġiba nadifa hija rotta statika lejn il-pool VPN bl-indirizz LAN tas-server VPN bħala l-qabża li jmiss. Din iżżomm l-indirizzi tas-sors tal-klijenti sħaħ, li jgħodd meta l-hosts fil-LAN jirreġistraw, jiffiltraw jew jillimitaw il-veloċità skont l-indirizz. Lanqas teħtieġ traduzzjoni fuq is-server, għalhekk it-tunnel jibqa' passaġġ pur ta' routing. L-obbligu li toħloq huwa dokumentazzjoni, għax il-pool, ir-rotta u l-konfigurazzjoni tas-server iridu jaqblu.

Dan ifalli bil-moħbi fil-jum li xi ħadd ibiddel il-pool. Ikteb il-valur darba u jittratta modifika f'wieħed mit-tliet postijiet bħala modifika fit-tlieta kollha.

NAS jew switch tal-livell 3 li jospita s-servizz jeħtieġ l-istess rotta, sakemm ma jibgħatx kollox minn router li għandha. Iċċekkja l-apparat li jtemm is-subnet, mhux biss dak li jħares lejn l-internet. In-netwerks żgħar spiss għandhom tliet apparati b'opinjoni dwar ir-routing.

It-tieni mistoqsija: tista' l-LAN tieqaf tara l-indirizzi tal-klijenti?

Meta r-router huwa ta' ħaddieħor, it-traduzzjoni fuq is-server VPN ma teħtieġx kooperazzjoni. Il-host fil-LAN jara l-indirizz LAN tas-server, iwieġbu, u s-server jittraduċi lura. Għalhekk l-apparati u r-rwoli ta' aċċess mill-bogħod ibbażati fuq NAT iġibu ruħhom hekk.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

Il-prezz huwa l-attribuzzjoni: l-indirizzi għal kull klijent jisparixxu mir-reġistri tal-LAN. Għalhekk kull lista ta' permessi fuq il-host fil-LAN trid issemmi s-server minflok il-pool.

Agħżel it-traduzzjoni meta l-kooperazzjoni mhijiex disponibbli, mhux meta hija biss skomda. Din taħbi lill-klijent minn kull investigazzjoni futura, inkluż minn dawk fejn trid tkun taf liema laptop fetaħ konnessjoni. Tista' wkoll tkisser protokolli li jdaħħlu indirizzi fil-payload, għax it-traduzzjoni tgħix fl-intestatura. L-ebda għażla mhija aktar avvanzata; it-tnejn iwieġbu mistoqsijiet differenti dwar is-sjieda.

It-tielet mistoqsija: is-server innifsu huwa klijent ta' tunnel ieħor?

Immaġina t-topoloġija l-oħra: is-server VPN iċempel ukoll fornitur kummerċjali, għalhekk għandu żewġ tunnels u żewġ settijiet ta' indirizzi. It-traffiku li jgħaddi għall-klijenti tiegħu joħroġ mill-fornitur, u dan mhux se jirrotta t-tweġibiet lura lejn l-indirizzi tal-pool. Għalhekk it-tweġibiet jisparixxu għalkemm iż-żewġ tunnels huma sħaħ.

Is-soluzzjoni hija li timmaskra wkoll it-tunnel li joħroġ, biex il-fornitur jara biss l-indirizz tat-tunnel tas-server. Id-direzzjoni opposta teħtieġ ir-regola tagħha, għax is-server li jibda konnessjoni lejn wieħed mill-klijenti tiegħu huwa fluss ieħor. Mingħajr dik ir-regola l-klijent iwieġeb indirizz li ma jistax jirrotta. Qiegħed ir-regola dejqa qabel kull maskra wiesgħa biex it-traduzzjoni speċifika tirbaħ.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tun1 -j MASQUERADE
iptables -t nat -A POSTROUTING -d 10.8.0.0/24 -o tun0 -j SNAT --to-source 10.8.0.1

Il-hosts b'ħafna interfaces iżidu ħsara relatata li tidher identika mill-klijent. It-tweġiba toħroġ mill-interface b'metrika aktar baxxa għax l-indirizz tas-sors intgħażel minn tabella oħra. Iċċekkja l-passaġġ lura b'tfittxija minflok ma tassumi li l-passaġġ 'il quddiem jimplikah.

Imbagħad ivverifika ż-żewġ direzzjonijiet u ż-żewġ daqsijiet

Wara l-bidla, agħmel ping mill-klijent għal host fil-LAN u mbagħad mill-host fil-LAN għall-klijent. It-tieni direzzjoni hija dik li n-nies jaqbeżha, u hija dik li tikxef regola tat-traduzzjoni mhux sħiħa. Irreġistra ż-żewġ riżultati b'timbru tal-ħin biex rigressjoni aktar tard tkun tista' titqabbel.

Imbagħad iċċaqlaq data reali, għax ping żgħir li jirnexxi waqt li trasferiment kbir jieqaf huwa sintomu tal-MTU. Dik il-ħsara tidher eżatt wara li tkun faħħart lilek innifsek talli sewwi r-rotta.

Fl-aħħar, erġa' pprova wara reboot. Il-kmandi tar-rotta u tal-firewall fil-ħin tal-ġiri ma jgħaddux minnu, u tiswija li tisparixxi fl-istartjar li jmiss terġa' tiġi djanjostikata minn xi ħadd b'inqas kuntest. Agħmel il-bidla permanenti bil-mod li s-sistema tiegħek diġà tagħmel, imbagħad erġa' ibda darba apposta.