Il-qabża li jmiss f'rotta VPN: għaliex il-gateway trid tkun tista' tintlaħaq lokalment

L-indirizz via ta' rotta jrid ikun jista' jintlaħaq fuq il-link li minnha tibgħat. Segwi l-konsenja, ivverifika t-tiftixa u ttestja mill-host li għandu t-traffiku.

Rotta lejn netwerk VPN iġġorr żewġ indirizzi li huwa faċli li jiġu konfużi: il-prefiss tad-destinazzjoni li l-pakkett qed jipprova jilħaq u l-qabża li jmiss li se tmexxih pass eqreb. Fuq host LAN, dik il-qabża li jmiss trid tkun router li inti verament tista' tilħaq fl-istess link. L-indirizz VPN remot mhuwiex qabża li jmiss, kemm kemm joqgħod tajjeb mad-destinazzjoni li għandek f'moħħok.

Dan il-manwal ikopri l-każ ordinarju: laptop fuq 192.168.20.0/24, gateway VPN b'indirizz LAN ta' 192.168.20.5, u netwerk remot 10.70.0.0/24 wara dak il-gateway. Il-kmandi kollha hawn taħt jassumu li int fuq il-laptop sakemm ma jingħadx mod ieħor.

Żewġ indirizzi, rotta waħda

Id-dħul maħsub huwa 10.70.0.0/24 via 192.168.20.5. Il-prefiss jgħid fejn sejjer il-pakkett; l-indirizz via jgħid min qed iġorrh hemm. Il-qalba tirrifjuta li tinstalla rotta li ma tistax tilħaq il-gateway tagħha permezz tal-interface li ssemmi, u dak ir-rifjut huwa l-punt kollu: qabża li jmiss li għandha bżonn il-mina biex tkun tista' tintlaħaq ma tistax tkun il-qabża li jmiss li tibni l-mina.

Għalhekk l-ewwel verifika mhix «il-gateway qed jaħdem» iżda «il-gateway jinsab f'dan il-link». Is-subnet tal-laptop stess, id-dħul ARP jew tal-proxxmu tiegħu, u l-interface fir-rotta kollha jridu jaqblu. Indirizz li jeżisti biss ġewwa 10.70.0.0/24 jista' jkun id-destinazzjoni ta' tieni rotta, imma qatt mhu se jkun il-via tal-ewwel waħda.

Għal xiex il-qabża li jmiss tobbliga lill-gateway

L-installazzjoni tar-rotta fuq il-laptop tiddeċiedi biss l-ewwel konsenja. Wara l-gateway għandu bżonn it-triq tiegħu stess: ġbir 'il quddiem attivat, rotta tal-mina għal 10.70.0.0/24, u kull politika ta' aċċess li tiddetermina min jista' jużaha. Fuq Linux dak huwa net.ipv4.ip_forward=1 flimkien ma' rotta tal-mina; firewall quddiemu għandu bżonn regola li tippermetti l-fluss imqiegħed 'il quddiem.

Id-direzzjoni lura hija l-parti li n-nies jinsiew. In-naħa remota trid ikollha rotta lura lejn 192.168.20.0/24, jew id-disinn irid jittraduċi s-sors tal-laptop f'xi ħaġa li n-naħa remota taf. Ping li jaħdem mill-gateway jipprova li l-gateway jista' jilħaq in-netwerk remot; ma jgħid xejn dwar jekk il-pakketti tal-laptop jibqgħux ħajjin fil-vjaġġ lura.

Ivverifika t-tiftixa mill-host li jibgħat

Staqsi lill-qalba liema qabża li jmiss tagħżel, u aqra l-interface fit-tweġiba:

ip route get 10.70.0.10
ip route show 10.70.0.0/24
ip neigh show 192.168.20.5

Jekk it-tiftixa tirrapporta l-gateway u l-interface LAN, l-ewwel parti hija konfigurata kif maħsub. Jekk tirrapporta l-apparat tal-mina, xi ħaġa aktar kmieni fit-tabella hija aktar speċifika u qed tirbaħ. Jekk ir-rotta ma tinstalla xejn, il-qalba qed tgħidlek li l-gateway mhijiex tista' tintlaħaq, u dak il-messaġġ huwa aktar utli minn kull qabda ta' pakketti.

Imbagħad irrepeti t-test mill-post it-tajjeb. Talba maħluqa fuq il-gateway tuża l-indirizz tas-sors tal-gateway stess, li jista' jaħbi rotta lura neqsin jew politika li tippermetti biss ċerti sorsi. Il-manwal tal-ip-route jifred id-destinazzjoni, il-gateway u l-kisra onlink, u l-kisra tiswa li tifhem qabel tużaha.

Tużax onlink biex tiffaġġja l-aċċessabbiltà

onlink jgħid lill-qalba biex taqbeż il-verifika tal-aċċessabbiltà għal gateway u tibgħat hemm xorta waħda. Ma joħloqx triq, ma jsolvix ARP għal indirizz li m'hemmx, u ma jġegħelx router remot iwieġeb fis-segment Ethernet tiegħek. Huwa leġittimu għal gateways li jwieġbu imma ma joqogħdux f'subnet konness, u huwa nassa meta jintuża biex jiskotol erur li ma spjegajtx.

Jekk ir-rotta tinstalla biss ma' onlink, il-mistoqsija li jmiss hija għaliex il-gateway mhijiex fejn taħseb. VLAN żbaljata, tieni indirizz fuq l-interface żbaljata, jew żball tat-tajp fl-aħħar ottett kollha jipproduċu dan, u kull wieħed minnhom ukoll ikisser it-triq lura hekk kif it-traffiku jibda jgħaddi.

Il-mini punt sa punt mhumiex Ethernet

Apparat tal-mina ma jagħmilx ARP u spiss m'għandux subnet sinifikanti ta' proxxmu. Ir-rotot tiegħu spiss jidhru bħal 10.70.0.0/24 dev tun0, mingħajr ebda via, għax il-pari huwa l-uniku tarf ieħor. Li tikkopja via stil LAN f'dik it-tabella jipproduċi rotta li l-qalba tista' tirrifjuta jew, agħar, waħda li tipponta lejn indirizz li l-pari qatt ma jwieġeb għalih.

Żomm iż-żewġ mudelli separati fil-manwal: rotta LAN għandha gateway li tista' tintlaħaq, rotta tal-mina għandha interface u pari. WireGuard, OpenVPN u IPsec kollha juru forom kemmxejn differenti, għalhekk innota l-forma li verament użajt minflok ma tiġġeneralizza minn host wieħed.

Żid, ikkonferma, irreġġa' lura

Il-bidla kollha hija tliet kmandi u verifika waħda, u għandha tinkiteb f'dik l-ordni:

sudo ip route add 10.70.0.0/24 via 192.168.20.5
ip route get 10.70.0.10
ping -c 3 10.70.0.10
sudo ip route del 10.70.0.0/24 via 192.168.20.5

Ikkonferma t-triq, ikkonferma destinazzjoni waħda, imbagħad żomm il-linja tat-tħassir lesta f'każ li l-bidla tagħmel il-host mhux aċċessibbli b'mod li ma ħsibtx għalih. Jekk ir-rotta trid tibqa' wara restart, poġġiha fil-konfigurazzjoni tan-netwerk tal-host u mhux fil-profil tas-shell, u ttestja r-restart qabel ma tiddependi fuqha. Rotta li teżisti biss fis-shell li żieditha hija rotta li se tiddibbagja darbtejn.

Artikli relatati