Għaliex il-LAN tiegħek ma tilħaqx servizz fuq klijent VPN

Klijent VPN jista’ jospita servizz li l-LAN ma tistax tiftaħ. Dak li normalment jonqos huwa t-triq lura: rotta waħda, par DNAT jew il-linja SNAT li ħadd ma jżid.

It-tunnel tiegħek huwa attiv, is-servizz qed jisma’, u l-LAN tal-uffiċċju xorta ma tirċevix xejn lura. Ħadd ma kiser il-VPN. Mill-ġenb tal-LAN, l-indirizz tat-tunnel tal-laptop ma jeżistix sakemm xi ħaġa tgħid lill-LAN kif tilħaqha, u it-tweġiba trid tiġi lura mill-istess triq li ħareġ minnha t-talba. Rajt nies jerġgħu jibnu tunnel sħiħ f’saħħtu tliet darbiet qabel ma xi ħadd ħares lejn it-triq lura.

Mhux it-tunnel li nqered

Iż-żewġt trufijiet qegħdin fuq firxiet privati, li huwa l-każ normali u mhux konfigurazzjoni żbaljata. Indirizz bħal 10.8.0.6 huwa reali ġewwa t-tunnel u ma jeżistix imkien ieħor, għalhekk il-LAN m’għandha ebda raġuni tibgħat xejn hemm. Qabel ma tmiss ir-rottaġġ, ikkonferma li s-servizz huwa aċċessibbli ġewwa t-tunnel: fuq il-klijent, ss -ltn juri jekk is-semmiegħ huwiex marbut ma’ 127.0.0.1, mal-interface tal-LAN jew mal-indirizz tat-tunnel. Daemon marbut biss ma’ loopback ma jwieġeb lil ħadd ħlief lilu nnifsu, u l-ebda rotta, DNAT jew tibdil tal-port ma jbiddel dan.

Proxy fuq il-port 80 jew 443 huwa għodda oħra b’viżibilità oħra. Huwa jċaqlaq talbiet, mhux pakketti, għalhekk huwa s-saff żbaljat għal konnessjoni mhux ipproċessata ma’ database, u li tmur għalih huwa kif dan il-problema tispiċċa tliet għodod fil-fond qabel ma xi ħadd ikejjel xi ħaġa.

Forma tar-rotta: għid lill-LAN fejn jinsab il-pool

Rotta statika fuq il-gateway tal-LAN hija l-aktar tweġiba nadifa meta l-LAN u l-pool tat-tunnel ma jidħlux fuq xulxin. Dawwar il-pool lejn il-magna li tispiċċa t-tunnel:

ip route add 10.8.0.0/24 via 192.168.1.12
route add -p 10.8.0.0 mask 255.255.255.0 192.168.1.12   # Windows, persistent

Dan jissewwi direzzjoni waħda biss, u għalhekk il-verżjonijiet nofshom kompluti ta’ dan it-tibdil jidhru bħala progress. In-naħa tat-tunnel teħtieġ in-nofs li jaqbel, inkella t-tweġiba tħalli l-klijent bir-rotta tiegħu stess u tmut fit-triq:

push "route 192.168.1.0 255.255.255.0"

Għal subnet li tinsab wara klijent wieħed u mhux wara s-server, is-server jeħtieġ kemm rotta tas-sistema kif ukoll dħul iroute fil-fajl ta’ dak il-klijent taħt client-config-dir. Mingħajr iroute, OpenVPN jaf li l-prefiss jeżisti u m’għandux idea liema klijent jippossjedih: il-pakketti jaslu u d-daemon m’għandux x’jagħqadhom miegħu.

Hawn hu l-mit li jistħoqqlu isem. Rotta tagħmel indirizz aċċessibbli; ma tagħmilx in-naħa l-oħra lesta twieġeb. Il-pari sit għal sit iżidu saff ieħor fuqha, għax il-gateway mill-bogħod jaċċetta biss sorsi ġewwa l-prefissi fil-politika tiegħu, u laptop li jiġi minn pool tad-dar mhuwiex ġo fihom.

Forma tan-NAT: DNAT ’il ġewwa, u l-linja SNAT li kulħadd jaqbeż

Meta ma tistax tmiss il-gateway tal-LAN, jew trid tippubblika eżattament port wieħed, it-traduzzjoni fuq il-host tal-VPN taħdem mingħajr ebda rotta fuq il-LAN. Ippubblika l-port, iffigħlu ’l quddiem, u ttraduċi s-sors fit-triq lejn it-tunnel:

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to-destination 10.8.0.6:3000
iptables -A FORWARD -i eth0 -o tun0 -p tcp -d 10.8.0.6 --dport 3000 -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -d 10.8.0.6 -p tcp --dport 3000 -j SNAT --to-source 10.8.0.1

It-tielet linja hija dik li tintilef. Aqbeżha u l-klijent jara l-indirizz oriġinali tal-LAN bħala sors, iwieġeb bir-rotta tiegħu stess, u dik it-tweġiba tidħol fit-tunnel minflok ma tmur lura lejn il-LAN. Jekk il-konnessjoni tgħixxiex imbagħad jiddependi minn rottaġġ li qatt ma ppjanajt. B’SNAT il-klijent jara l-indirizz tat-tunnel tas-server, għalhekk it-tweġiba ssegwi t-tunnel lura sal-uniku host li jista’ jħassar it-traduzzjoni.

Il-firmware tal-konsumatur juża ismijiet tal-ktajjen tiegħu u ma jiġġenerax dik it-traduzzjoni għalik. Fuq Tomato, regola tad-dħul tinżel f’WANPREROUTING u mbagħad f’katina tal-filtru bħal wanin, u sett ta’ regoli li jidher komplut xorta jeħtieġ linja POSTROUTING manwali. Dan mhuwiex bug tal-firmware; dan huwa sett ta’ regoli miktub biss għat-traffiku tad-dħul.

Għaliex regola li tidher korretta xorta tarmi l-pakkett

Il-biċċa l-kbira minn dawn il-fallimenti mhumiex fir-regola li qed tħares lejha. Iċċekkja erba’ affarijiet f’dan l-ordni, u waqaf fl-ewwel waħda li ma tistax:

  • Ordni tal-ktajjen. iptables -I idaħħal fil-quċċata u -A iżżid fit-tmiem, għalhekk regola preċedenti li tippermetti jew timblokka tiddeċiedi l-ewwel.
  • Katina żbaljata. It-traffiku indirizzat lir-router innifsu jgħaddi minn INPUT, u t-traffiku mibgħut ’il quddiem qatt ma jmissu. Li tippubblika servizz wieħed jista’ jkun jeħtieġ regoli fit-tnejn.
  • Bnadar tad-direzzjoni. -i tun0 jaqbel mat-traffiku li jiġi mill-klijenti u -o tun0 mat-traffiku li joħroġ lejhom. REJECT bil-bandiera l-ħażina jimblokka xi ħaġa li ma ridtx.
  • Restrizzjoni tas-sors. Twassil li jaċċetta indirizz wieħed ta’ klijent jaħdem minn dak il-klijent u jarmi kull sors ieħor mingħajr kelma.

Regola b’counter tal-pakketti f’żero mhijiex fit-triq affattu, u li taqra l-counters hija l-aktar triq mgħaġġla biex tifred problema ta’ katina żbaljata minn problema ta’ regola żbaljata.

It-twassil lokali, meta xejn fuq il-LAN ma jista’ jinbidel

Twassil lokali SSH jevita l-mistoqsija kollha. Ma jeħtieġx rotta fuq il-LAN, lanqas kollaborazzjoni mill-firewall tal-klijent, u ebda port ippubblikat imkien:

ssh -N -f -L 3000:10.8.0.6:3000 user@vpn-host

Is-servizz imbagħad jidher fuq localhost:3000 tal-magna li żżomm it-tunnel, u mkien ieħor. Din hija l-limitu: stazzjon tax-xogħol wieħed, port wieħed, u t-twassil imut mas-sessjoni sakemm xi ħaġa ma terġax tibdih. Għal amministratur li jivverifika database tal-istaging hija l-għodda t-tajba. Għal kamera jew scanner li nies oħra jridu jilħqu, mhijiex, għax kull utent ikollu bżonn it-twassil tiegħu.

Ivverifika ż-żewġ direzzjonijiet qabel ma żżid regola oħra

It-traduzzjoni tħalli traċċi, u li taqrahom aħjar milli taħseb. Fuq il-host tal-VPN, conntrack -L juri jekk it-traduzzjoni seħħitx, iptables -t nat -L -n -v juri jekk iċ-ċedoli ċċaqalqux, u tcpdump -ni any port 3000 juri liema indirizz tas-sors fil-fatt wasal. Fuq il-klijent, ss -ltn jikkonferma li s-semmiegħ jinsab fuq indirizz li t-tunnel jista’ jilħaq.

Imbagħad agħżel il-forma li żżomm. Port ippubblikat wieħed, rotta għall-pool kollu, u twassil għal amministratur wieħed huma tliet impenji differenti, u li tħallathom huwa kif setup li jaħdem isir wieħed li ħadd ma jista’ jispjega sitt xhur wara. Ikteb liema indirizz huwa aċċessibbli minn fejn, u l-persuna li jmiss li tiddenbaggja dan tibda mit-tweġiba minflok mit-tunnel.

Artikli relatati