Rotta VPN jew regola tal-firewall: liema qed twaqqa' l-pakkett?

Żewġ deċiżjonijiet indipendenti jiġru fl-istess pakkett, u wieħed minnhom jista' jtemm it-talba fis-skiet. It-tfittxija tar-rotta tagħżel interface u l-hop li jmiss, imbagħad il-filter tal-pakketti jiddeċiedi jekk din il-kombinazzjoni hijiex permessa. Timeout jgħidlek li wieħed miż-żewġ rrifjuta, mhux liema. Mexxi l-istadji fl-ordni u t-tiswija normalment tieqaf tkun stima.

Żewġ deċiżjonijiet, pakkett wieħed, żewġ sidien

It-tfittxija tar-rotta tikkonsulta l-ewwel ir-regoli tal-politika, imbagħad it-tabella li jindikaw, u tagħżel l-aktar prefiss speċifiku li jaqbel mad-destinazzjoni. Klijent li installa rotta tat-tunnel jippossjedi dak id-deċiżjoni, u xejn f'regola tal-firewall ma jista' jissostitwixxiha. Meta t-tfittxija tindika post mhux mistenni, kull stadju sussegwenti jaħdem fuq il-pakkett żbaljat.

L-iffiltrar hu separat. Fuq host Linux il-ganċijiet netfilter jaqsmu t-traffiku skont għal min hu l-pakkett: l-output joħroġ mill-magna, l-input jintemm fuqha, il-forward jgħaddi minnha. Gateway li jaċċetta klijenti VPN u jirrotta hom lejn LAN jeħtieġ il-passaġġ tal-forward, u dik hija eżattament il-katina li ħafna konfigurazzjonijiet default iħallu vojta.

L-għażla tas-sors tappartjeni għall-istess deċiżjoni, u hawn jinħbew ħafna mill-kuntrasti. Il-kernel jagħżel indirizz tas-sors mill-interface li toħroġ sakemm ir-rotta ma ssemmi wieħed, għalhekk regola tal-filter miktuba għas-subnet LAN qatt ma taqbel ma' pakkett li joħroġ bl-indirizz tat-tunnel.

Aqra x'għażlet it-tfittxija fil-fatt

Ipprintja d-deċiżjoni minflok tiddeduċiha. Il-kmand hawn taħt isolvi r-rotta li l-kernel juża għal dik id-destinazzjoni, inkluż l-interface u s-sors li jagħżel:

ip route get 10.8.0.5
ip route get 10.8.0.5 from 192.0.2.44
ip rule show
ip route show table all | sed -n '1,40p'

Il-klijenti VPN spiss jinstallaw regoli tal-politika fi prijoritajiet taħt it-tabella prinċipali, għalhekk tabella prinċipali nadifa ma tipprovax xejn waħedha. Qabbel il-prijoritajiet tar-regoli mat-tabelli li jagħżlu, u ċċekkja jekk ir-rotta tat-tunnel tiflaħx għal konnessjoni mill-ġdid minflok tiġi miżjuda bl-idejn darba.

IPsec ibbażat fuq il-politika jżid it-tielet stadju ta' tqabbil li r-rotta ma tkoprix, kif jiddeskrivu in-noti tal-forwarding ta' strongSwan għal setup tat-tunnel u tat-trasport. Il-politika tas-sigurtà tagħżel it-traffiku bil-prefiss u l-protokoll, filwaqt li r-rotta biss tiddeċiedi fejn tmur pakkett mhux protett. Subnet li jiġi rrotta iżda m'għandux selettur li jaqbel jew jibqa' mhux protett jew jintefa, skont il-konfigurazzjoni, u l-ebda riżultat ma jidher bħala problema tal-firewall. Ipprintja l-politika u qabbel is-seletturi tagħha mal-prefissi li kont qed tistenna li t-tunnel iġorr.

L-iffiltrar japplika fuq ganċ, mhux fuq rotta

Regola li tippermetti s-semmiegħ VPN hija regola dwar traffiku indirizzat lill-gateway innifsu. Ma tgħid xejn dwar klijenti li jilħqu hosts wara dak il-gateway, għax it-traffiku mibgħut jgħaddi minn katina differenti. Li taqra s-sett tar-regoli bħala lista waħda ċatta hija r-raġuni tas-soltu għaliex regola li tidher korretta qatt ma tattiva.

Il-kontaturi jsolvu l-mistoqsija malajr. Regola b'kont tal-pakketti żero qatt ma ntlaħqet, li jindika l-katina żbaljata, l-interface żbaljata jew twaqqigħ preċedenti. Regola b'kont li qed jikber taħt politika ta' twaqqigħ hija l-limitu li kont qed tfittex, u l-pakkett jintefa minflok jiġi rrotta ħażin.

Ibgħat prova mill-passaġġ li juża l-klijent

It-testijiet li jsiru fuq il-gateway stess jgħaddu mill-output u l-input, bl-indirizz tas-sors tal-gateway stess. Dak passaġġ differenti mit-talba mibgħuta ta' klijent, għalhekk curl lokali li jirnexxi jipprova inqas milli jidher. Ittestja mill-magna li tfalli, jew pinna l-interface u s-sors b'mod espliċitu.

nc -vz -w 3 10.8.0.5 443
ping -c 3 -W 1 10.8.0.5
tcpdump -ni any host 10.8.0.5 and port 443
iptables -vnL FORWARD --line-numbers
nft list ruleset | sed -n '1,60p'

Qbid fuq iż-żewġ trufijiet jifred il-każijiet li jifdal. SYN li jħalli l-klijent u qatt ma jasal ifisser routing, encryption jew lista ta' aċċess 'il fuq. SYN li jasal u ma jsibx tweġiba ifisser is-servizz jew il-filter tal-host tiegħu, u t-tunnel qatt ma kien il-problema.

It-traffiku tar-ritorn jistħoqqlu ħarsa tiegħu. Routing asimmetriku flimkien ma' filtrazzjoni tal-passaġġ invers iwarrbu tweġibiet li jaslu fuq l-interface żbaljata, li jidher bħala konnessjoni f'direzzjoni waħda minflok port imblukkat. Iċċekkja l-valur sysctl qabel ma tagħti l-ħtija lill-firewall għal sintomu li ma kkawżax.

L-illoggjar jaħdem bħala t-tieni opinjoni, mhux l-ewwel pass. Dikjarazzjoni tal-log temporanja fuq il-katina tal-forward issemmi l-interface u l-indirizzi li laqtuha, u hija faċli titneħħa wara. Ħalliha b'mod permanenti u tkun bnejt problema tal-volum tal-logs minflok tweġiba.

Poġġi kull bidla fejn tiflaħ għal konnessjoni mill-ġdid

Rotta miżjuda b'ip route add tgħix sakemm l-interface tinżel. Ippreservaha fil-profil tal-konnessjoni minflok: NetworkManager jaċċetta rotot addizzjonali fuq il-konnessjoni, u netplan iżommhom bejn boots. L-istess regola tapplika għal eċċezzjoni tal-firewall fuq in-naħa tal-klijent, li tispiċċa wara l-load mill-ġdid li jmiss.

Ir-regoli fuq in-naħa tas-server jappartjenu għall-fajl tal-konfigurazzjoni li s-servizz jgħabbi fil-bidu, mhux għal sessjoni interattiva li tispiċċa meta tagħlaqha. Ikteb ir-regola, erġa' għabbi, u kkonferma li l-kontatur mexa, għax load mill-ġdid li rrifjuta s-sintassi jħalli s-sett tar-regoli l-antik fil-post tiegħu fis-skiet.

Imbagħad erġa' agħmel it-talba oriġinali tal-applikazzjoni mill-bidu sat-tmiem u noti liema saff inbidel. Tiswija tar-rotta li kellha bżonn ukoll bidla fil-filter xorta se tfalli, u t-tieni falliment jinqara ħafna aktar faċilment ladarba tkun taf li l-ewwel telaq. Innota d-data u l-verżjoni tal-klijent ħdejn ir-riżultat, għax id-defaults tar-routing u l-filtrazzjoni t-tnejn jiċċaqalqu bejn il-verżjonijiet. Żomm dik in-nota fuq it-ticket sabiex il-persuna li jmiss tibda fejn waqaft minflok ma tirrepeti l-mixja f'żewġ stadji.