Gateway VPN jeħtieġ il-forwarding tal-IP: x'għandek tiċċekkja

Il-klijent tiegħek jista' jpingja l-indirizz tal-gateway waqt li kull riżors warajh jibqa' mhux aċċessibbli. Dan il-par ta' osservazzjonijiet jiddeskrivi host li qed jitkellem miegħek u router li mhux qed jirrotta, li huma rwoli differenti fuq l-istess magna. Il-forwarding huwa s-swiċċ bejniethom.

Iż-żewġ rwoli huma indipendenti, u hekk ukoll iż-żewġ familji ta' indirizzi.

It-tweġiba fuq l-indirizz tiegħu stess ma tipprova xejn

Meta pakkett ikun indirizzat lill-gateway innifsu, l-istack lokali jikkonsmah u ma ssir ebda deċiżjoni ta' forwarding. Huwa għalhekk li ping b'suċċess lejn l-indirizz tal-tunnel jew interface tal-ġestjoni jgħidlek li d-daemon ħaj u t-tunnel imqajjem, filwaqt li ma jgħid xejn dwar traffiku destinat għal netwerk wara l-kaxxa. Il-kernel jikkonsulta t-triq tal-forwarding tiegħu biss għal pakketti li mhumiex indirizzati lilu.

Aqra r-rekwiżit bħala rwol, mhux bħala setting: dan il-host irid iċaqlaq pakketti bejn żewġ interfaces. Laptop li jkollu bżonn biss jilħaq netwerk remot qatt ma jieħu dan ir-rwol, u punt tat-tarf sit-sit dejjem jieħdu. Li taqra r-rekwiżit hekk jispjega għaliex konfigurazzjoni tal-klijent li taħdem tfalli meta tiġi mċaqalqa għal gateway.

L-istess sentenza tapplika għall-firewall quddiem id-deċiżjoni tal-forwarding, li għandha l-politika tagħha dwar x'jista' jiġi forwardjat.

Iċċekkja kull familja ta' indirizzi separatament

Il-forwarding IPv4 huwa swiċċ wieħed, u l-forwarding IPv6 huwa ieħor b'imġiba tiegħu għal kull interface. Li tattiva l-ewwel ma jgħid xejn dwar it-tieni, u klijent b'żewġ stacks jista' jilħaq nofs netwerk waqt li l-bqija jibqa' fid-dlam. Għalhekk żewġ klijenti minn familji differenti jistgħu ma jaqblux dwar l-istess gateway. Staqsi liema familja uża l-klijent li falla qabel ma timmodifika xi waħda miż-żewġ settings. Ikkonferma t-tnejn qabel ma tikkonkludi li d-disinn tal-irroottar huwa ħażin.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Fuq ħafna distribuzzjonijiet il-valur li taqra fir-runtime tqiegħed hemm minn servizz jew fajl ta' konfigurazzjoni, għalhekk bidla magħmula b'kmand ta' darba tista' tisparixxi fir-restart. Sib il-fajl li jippossjedi s-setting qabel ma timmodifika l-valur tar-runtime.

Il-forwarding huwa wieħed minn erba' rekwiżiti

Fluss forwardjat li jaħdem jeħtieġ erba' affarijiet f'daqqa: il-klijent irid ikun jaf li d-destinazzjoni hija wara t-tunnel, il-gateway irid ikollu rotta 'l quddiem, it-tweġibiet iridu jkollhom triq lura, u l-firewall irid jippermetti t-traffiku. It-traduzzjoni tas-sors tappartjeni għal dak id-disinn bħala għażla u mhux regola, għax netwerk routed privat b'perkorsi simmetriċi ma jeħtiġhiex u wieħed asimmetriku normalment jeħtieġha. Kull wieħed mill-erba' jfalli indipendentement, u għalhekk li ssewwi wieħed bilkemm iċaqlaq is-sintomu. Ikteb l-erbgħa kollha qabel ma tibdel xi wieħed minnhom.

Il-pjattaformi tal-cloud iżidu hames kunsiderazzjoni. Uħud jinfurzaw kontrolli tas-sors u tad-destinazzjoni fuq l-instances, li jwarrbu l-pakketti forwardjati irrispettivament minn kif huwa konfigurat il-kernel tal-mistieden. Id-dokumentazzjoni tan-netwerk tal-pjattaforma nnifisha hija l-awtorità hemmhekk, mhux il-output tas-sysctl fil-VM.

Ittestja mill-klijent, mhux mill-gateway

Test imħaddem fil-qoxra tal-gateway innifsu ma jgħaddix minn ebda parti mit-triq tal-forwarding li għadek kemm attivajt. Iġġenera t-traffiku mill-klijent li għandu l-problema, u kkonferma li jilħaq xi ħaġa wara l-gateway u mhux il-gateway innifsu. Dak huwa l-uniku test li jeżerċita r-rwol li biddilt.

Żomm ir-regoli tas-semmiegħ u r-regoli tal-forwarding separati f'moħħok u fir-rekord tal-bidliet. Li tiftaħ il-port VPN idaħħal il-klijenti fis-servizz; ma jagħtihom xejn fuq in-netwerk warajh, u t-tnejn jidhru identiċi f'lista tal-firewall li kibret għal snin.

Jekk il-pakketti jaslu u s-servizz imbagħad jirrifjuta l-utent, tkun għaddejt min-netwerking. Kompli bl-awtorizzazzjoni tal-applikazzjoni minflok ma tkompli twessa' l-politika tal-forwarding.