VPN ਪੋਰਟ ਖੋਲ੍ਹਣ ਨਾਲ ਕਲਾਇੰਟ LAN ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦੇ

ਟਨਲ ਉੱਪਰ ਆਉਂਦਾ ਹੈ, ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ, ਪਰ ਗੇਟਵੇ ਪਿੱਛੇ ਦਾ LAN ਅਣਦਿਸਦਾ ਰਹਿੰਦਾ ਹੈ। ਜਿਸ ਨਿਯਮ ਨੇ ਇਸ ਨੂੰ ਠੀਕ ਕਰਨਾ ਸੀ ਉਹ VPN ਪੋਰਟ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਅਤੇ ਲਿਖੇ ਅਨੁਸਾਰ ਹੀ ਕੰਮ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਉਹ ਨਿਯਮ ਗੇਟਵੇ ਨੂੰ ਆਪ ਹੀ ਸੰਬੋਧਿਤ ਪੈਕਟਾਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ। ਗੇਟਵੇ ਪਿੱਛੇ ਦੇ ਹੋਸਟ ਵੱਲ ਜਾਣ ਵਾਲੇ ਕਲਾਇੰਟ ਟ੍ਰੈਫਿਕ ਦਾ ਹੋਰ ਟਿਕਾਣਾ ਅਤੇ ਹੋਰ ਲੜੀ ਹੈ। ਸਫਲ ਲੌਗਇਨ ਇਸ ਨੂੰ ਨਹੀਂ ਬਦਲਦਾ ਕਿ ਕਰਨਲ ਕਿਹੜੀ ਲੜੀ ਵੇਖਦਾ ਹੈ।

ਦੋ ਲੜੀਆਂ, ਦੋ ਵੱਖਰੇ ਟਿਕਾਣੇ

ਪੈਕਟ ਦੀ ਕਿਸਮਤ ਇਸ ਨਾਲ ਤੈਅ ਹੁੰਦੀ ਹੈ ਕਿ ਇਹ ਕਿੱਥੇ ਜਾ ਰਿਹਾ ਹੈ, ਇਸ ਨਾਲ ਨਹੀਂ ਕਿ ਇਹ ਕਿਵੇਂ ਆਇਆ। ਗੇਟਵੇ ਉੱਤੇ ਪਤੇ ਵੱਲ ਜਾਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਸਥਾਨਕ ਤੌਰ ਉੱਤੇ ਪਹੁੰਚਾਇਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਨਪੁਟ ਨਿਯਮਾਂ ਨਾਲ ਮੁਲਾਂਕਣ ਹੁੰਦਾ ਹੈ। ਗੇਟਵੇ ਜੋ ਟ੍ਰੈਫਿਕ ਅੱਗੇ ਭੇਜਦਾ ਹੈ ਉਹ ਫਾਰਵਰਡਿੰਗ ਨਿਯਮਾਂ ਨਾਲ ਮੁਲਾਂਕਣ ਹੁੰਦਾ ਹੈ। ਇੱਕੋ ਟਨਲ ਇੰਟਰਫੇਸ ਦੋਵੇਂ ਕਿਸਮ ਦੇ ਪੈਕਟ ਬਣਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕ ਨਿਯਮ ਦੋਵੇਂ ਕੰਮ ਨਹੀਂ ਢਕ ਸਕਦਾ।

ਸਾਰੀ ਕਥਾ ਇੱਕ ਵਾਕ ਵਿੱਚ: ਸਰੋਤੇ ਨੂੰ ਆਗਿਆ ਦੇਣਾ ਉਸਦੇ ਪਿੱਛੇ ਦੇ ਨੈੱਟਵਰਕ ਨੂੰ ਆਗਿਆ ਦੇਣ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। ਇਹ ਵੱਖਰੇ ਸਬੂਤਾਂ ਵਾਲੇ ਦੋ ਵੱਖਰੇ ਫੈਸਲੇ ਹਨ, ਅਤੇ ਦੋਵਾਂ ਉੱਤੇ ਇੰਟਰਫੇਸ ਦਾ ਨਾਮ ਹੋਣਾ ਉਨ੍ਹਾਂ ਨੂੰ ਇੱਕ ਨਹੀਂ ਕਰਦਾ।

ਸਰੋਤਾ ਨਿਯਮ ਅਸਲ ਵਿੱਚ ਕੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ

ਸਰੋਤੇ ਦੇ ਪੈਕਟ VPN ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਖਤਮ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਇਹੀ ਟਨਲ ਸਥਾਪਿਤ ਕਰਨਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ। ਗੇਟਵੇ ਦਾ ਪ੍ਰਬੰਧਨ ਪੰਨਾ ਅਤੇ ਸਥਾਨਕ ਨਿਦਾਨ ਜਵਾਬ ਵੀ ਹੋਸਟ ਦੇ ਆਪਣੇ ਇਨਪੁਟ ਮਾਰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਗੇਟਵੇ ਵੱਲ ਜਾਂਚ ਸਫਲ ਹੁੰਦੀ ਹੈ ਜਦੋਂਕਿ ਉਸਦੇ ਪਿੱਛੇ ਦਾ ਸਭ ਕੁਝ ਫੇਲ ਹੁੰਦਾ ਹੈ। ਦੋਵੇਂ ਨਤੀਜੇ ਸਹੀ ਹਨ ਅਤੇ ਕੋਈ ਵੀ LAN ਬਾਰੇ ਨਹੀਂ।

ਜਦੋਂ ਪ੍ਰਕਿਰਿਆ ਹੋਰ ਟਿਕਾਣੇ ਲਈ ਕਲਾਇੰਟ ਟ੍ਰੈਫਿਕ ਡੀਕੈਪਸੂਲੇਟ ਕਰਦੀ ਹੈ, ਪੈਕਟ ਫਾਰਵਰਡਿੰਗ ਮਾਰਗ ਵਿੱਚ ਦਾਖਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਉੱਥੇ ਆਗਿਆ ਚਾਹੀਦੀ ਹੈ। ਸਫਲ ਪ੍ਰਮਾਣੀਕਰਨ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕੌਣ ਹੈ; ਇਹ ਨਹੀਂ ਤੈਅ ਕਰਦਾ ਕਿ ਕਲਾਇੰਟ ਕਿੱਥੇ ਜਾ ਸਕਦਾ ਹੈ। ਦੋਵੇਂ ਸਵਾਲਾਂ ਦੇ ਮਾਲਕ, ਲੌਗ ਅਤੇ ਗਲਤੀ ਸੰਦੇਸ਼ ਵੱਖਰੇ ਹਨ।

ਕਲਾਇੰਟ ਤੋਂ ਜਾਂਚੋ, ਗੇਟਵੇ ਤੋਂ ਕਦੇ ਨਹੀਂ

ਗੇਟਵੇ ਉੱਤੇ ਬਣੀ ਜਾਂਚ ਹੋਸਟ ਦੇ ਆਪਣੇ ਆਉਟਪੁਟ ਮਾਰਗ ਦੀ ਪੈਰਵੀ ਕਰਦੀ ਹੈ ਅਤੇ ਫਾਰਵਰਡਿੰਗ ਮਾਰਗ ਬੰਦ ਹੋਣ ਉੱਤੇ ਵੀ ਸਫਲ ਹੋ ਸਕਦੀ ਹੈ। ਜਾਂਚ ਕਲਾਇੰਟ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ ਅਤੇ ਪ੍ਰਵਾਹ ਦੇ ਦੋਵੇਂ ਸਿਰੇ ਵੇਖੋ।

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

ਜੇ ਬੇਨਤੀ tun0 ਉੱਤੇ ਦਿਸਦੀ ਹੈ ਅਤੇ ਟਿਕਾਣੇ ਤੱਕ ਕੁਝ ਨਹੀਂ ਪਹੁੰਚਦਾ, ਪੈਕਟ ਆਉਣ ਤੋਂ ਬਾਅਦ ਸੁੱਟਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਫਾਰਵਰਡਿੰਗ ਨਿਯਮਾਂ ਜਾਂ ਟਿਕਾਣੇ ਦੀ ਆਪਣੀ ਫਿਲਟਰਿੰਗ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ। ਜੇ tun0 ਉੱਤੇ ਕੁਝ ਵੀ ਨਹੀਂ ਦਿਸਦਾ, ਕਲਾਇੰਟ ਇਸਨੂੰ ਟਨਲ ਤੱਕ ਵੀ ਨਹੀਂ ਭੇਜਦਾ, ਅਤੇ ਸਮੱਸਿਆ ਗੇਟਵੇ ਨੀਤੀ ਵਿੱਚ ਨਹੀਂ ਸਗੋਂ ਕਲਾਇੰਟ ਦੀ ਰੂਟਿੰਗ ਵਿੱਚ ਹੈ। ਸਹੀ ਢੰਗ ਨਾਲ ਬਾਹਰ ਜਾ ਕੇ ਕੁਝ ਵਾਪਸ ਨਾ ਆਉਣ ਵਾਲੀ ਬੇਨਤੀ ਨਾਲ ਇਸਦੀ ਤੁਲਨਾ ਕਰੋ, ਜੋ ਵਾਪਸੀ ਮਾਰਗ ਦਾ ਮਾਮਲਾ ਹੈ।

ਫਾਰਵਰਡਿੰਗ ਨੂੰ ਇੱਕ ਨਹੀਂ, ਤਿੰਨ ਚੀਜ਼ਾਂ ਚਾਹੀਦੀਆਂ ਹਨ

ਕਰਨਲ ਫਾਰਵਰਡਿੰਗ ਸਰਗਰਮ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਫਿਲਟਰ ਨਿਯਮ ਪ੍ਰਵਾਹ ਨੂੰ ਸਵੀਕਾਰ ਕਰੇ, ਅਤੇ ਟਿਕਾਣੇ ਤੱਕ ਪਹੁੰਚ ਹੋਣ ਦੇ ਨਾਲ ਜਵਾਬ ਵਾਪਸ ਆਉਣ ਦਾ ਮਾਰਗ ਹੋਵੇ। ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨਾ ਹੋਵੇ ਤਾਂ ਕਲਾਇੰਟ ਦੀ ਨਜ਼ਰ ਤੋਂ ਉਹੀ ਚੁੱਪ ਹੈ।

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

ਤਿੰਨੇ ਆਉਟਪੁਟ ਇਕੱਠੇ ਪੜ੍ਹੋ। ਪਹਿਲੇ ਵਿੱਚ ਸਿਫ਼ਰ ਹੋਵੇ ਤਾਂ ਬਾਕੀ ਦੋ ਬੇਲੋੜੇ ਹੋ ਜਾਂਦੇ ਹਨ, ਦੂਜੇ ਵਿੱਚ ਮੂਲ-ਸੁੱਟ ਨੀਤੀ ਹੋਵੇ ਤਾਂ ਕਲਾਇੰਟ ਦੇ ਪੈਕਟ ਸੁੱਟੇ ਜਾਂਦੇ ਹਨ ਜਦੋਂਕਿ ਗੇਟਵੇ ਦਾ ਆਪਣਾ ਟ੍ਰੈਫਿਕ ਚੱਲਦਾ ਰਹਿੰਦਾ ਹੈ। ਤੀਜਾ ਆਉਟਪੁਟ ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਸਰੋਤਾ ਨਿਯਮ ਕਦੇ ਸਮੱਸਿਆ ਕਿਉਂ ਨਹੀਂ ਸੀ।

ਦਸਤਾਵੇਜ਼ਾਂ ਵਿੱਚ ਦੋਵੇਂ ਨਿਯਮ ਸੈਟ ਵੱਖਰੇ ਰੱਖੋ

ਸਰੋਤਾ ਨਿਯਮ ਅਤੇ ਫਾਰਵਰਡ ਕੀਤੀ ਸੇਵਾ ਦਾ ਨਿਯਮ ਵੱਖਰੀਆਂ ਲਾਈਨਾਂ ਵਿੱਚ, ਵੱਖਰੇ ਮਾਲਕਾਂ ਅਤੇ ਕਾਰਨਾਂ ਨਾਲ ਲਿਖੋ। VPN ਪੋਰਟ ਬਦਲਣ ਜਾਂ ਨਵੀਂ ਸੇਵਾ ਛਪਣ ਵੇਲੇ ਉਹ ਵੱਖਰਾਪਣ ਇੱਕ ਬਦਲਾਅ ਨੂੰ ਦੂਜੇ ਨੂੰ ਚੁੱਪਚਾਪ ਫੈਲਾਉਣ ਤੋਂ ਰੋਕਦਾ ਹੈ।

ਹਰ ਪ੍ਰਮਾਣਿਤ ਸਾਥੀ ਨੂੰ ਭਰੋਸੇਯੋਗ LAN ਮੈਂਬਰ ਮੰਨਣ ਦੀ ਥਾਂ, ਲੋੜੀਂਦੇ ਕਲਾਇੰਟ ਰੇਂਜਾਂ ਅਤੇ ਸੇਵਾਵਾਂ ਲਈ ਤੰਗ ਨਿਯਮ ਵਰਤੋ। StrongSwan ਦੇ ਫਾਰਵਰਡਿੰਗ ਨੋਟਸ ਉਸੇ ਹੱਦ ਦੇ ਵਾਪਸੀ ਮਾਰਗ ਅਤੇ ਤਰਜਮੇ ਦਾ ਪਾਸਾ ਬਿਆਨ ਕਰਦੇ ਹਨ, ਜੋ ਫਿਰ ਤੀਜਾ ਫੈਸਲਾ ਹੈ।

ਅਖੀਰ ਵਿੱਚ, ਵਰਤੋਂਕਾਰ ਰੱਦ ਹੋਣ ਵੇਲੇ ਪਰਤਾਂ ਸਿੱਧੀਆਂ ਰੱਖੋ। ਜੇ ਬੇਨਤੀ ਹੋਸਟ ਤੱਕ ਪਹੁੰਚਦੀ ਹੈ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਖਾਤਾ ਰੱਦ ਕਰਦੀ ਹੈ, ਉਸੇ ਪਰਤ ਉੱਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਆਗਿਆ ਠੀਕ ਕਰੋ; ਫਾਰਵਰਡਿੰਗ ਫੈਲਾਉਣ ਨਾਲ ਫਾਈਲ ਸਾਂਝ ਦਾ ਪ੍ਰਮਾਣ ਪੱਤਰ ਨਹੀਂ ਮਿਲ ਸਕਦਾ ਅਤੇ ਸਫਲਤਾਪੂਰਵਕ ਜੁੜਨ ਵਾਲੇ ਹੋਰ ਸਾਰਿਆਂ ਲਈ ਪਹੁੰਚ ਫੈਲ ਜਾਵੇਗੀ।