Um gateway VPN precisa de encaminhamento IP: o que verificar

O seu cliente pode fazer ping ao endereço do gateway enquanto todos os recursos por trás dele continuam inacessíveis. Esse par de observações descreve um host que fala consigo e um router que não encaminha, que são papéis diferentes na mesma máquina. O encaminhamento é o interruptor entre os dois.

Os dois papéis são independentes, e também as duas famílias de endereços.

Responder no próprio endereço não prova nada

Quando um pacote é endereçado ao próprio gateway, a pilha local consome-o e não é tomada qualquer decisão de encaminhamento. É por isso que um ping bem-sucedido ao endereço do túnel ou a uma interface de gestão lhe diz que o daemon está vivo e o túnel está levantado, sem dizer nada sobre o tráfego destinado a uma rede atrás da caixa. O kernel só consulta o seu caminho de encaminhamento para pacotes que não lhe são endereçados.

Leia o requisito como um papel, não como uma definição: este host tem de mover pacotes entre duas interfaces. Um portátil que só precisa de alcançar uma rede remota nunca assume esse papel, e um ponto final site-a-site assume-o sempre. Ler o requisito assim explica porque é que uma configuração de cliente que funciona falha quando é movida para um gateway.

A mesma frase aplica-se à firewall à frente da decisão de encaminhamento, que tem a sua própria política sobre o que pode ser encaminhado.

Verifique cada família de endereços separadamente

O encaminhamento IPv4 é um interruptor, e o encaminhamento IPv6 é outro com o seu próprio comportamento por interface. Ativar o primeiro não diz nada sobre o segundo, e um cliente de pilha dupla pode alcançar metade de uma rede enquanto o resto fica às escuras. Dois clientes de famílias diferentes podem, por isso, discordar sobre o mesmo gateway. Pergunte qual família o cliente que falha usou antes de editar qualquer uma das definições. Confirme ambas antes de concluir que o desenho de encaminhamento está errado.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Em muitas distribuições, o valor que lê em tempo de execução foi ali colocado por um serviço ou por um ficheiro de configuração, pelo que uma alteração feita com um comando pontual pode desaparecer ao reiniciar. Encontre o ficheiro que possui a definição antes de editar o valor de execução.

O encaminhamento é um de quatro requisitos

Um fluxo encaminhado que funciona precisa de quatro coisas ao mesmo tempo: o cliente tem de saber que o destino está atrás do túnel, o gateway tem de ter uma rota em frente, as respostas têm de ter um caminho de volta e a firewall tem de permitir o tráfego. A tradução de origem faz parte desse desenho como opção e não como regra, porque uma rede encaminhada privada com caminhos simétricos não precisa dela e uma assimétrica normalmente precisa. Cada um dos quatro falha de forma independente, e é por isso que reparar um raramente move o sintoma. Escreva os quatro antes de alterar qualquer um deles.

As plataformas de cloud acrescentam uma quinta consideração. Algumas impõem verificações de origem e destino nas instâncias, o que descarta os pacotes encaminhados independentemente do que o kernel do convidado está configurado para fazer. A documentação de rede da própria plataforma é a autoridade ali, não a saída do sysctl dentro da VM.

Teste a partir do cliente, não do gateway

Um teste executado na própria shell do gateway não percorre nenhuma parte do caminho de encaminhamento que acabou de ativar. Gere o tráfego a partir do cliente que tem o problema e confirme que chega a algo atrás do gateway e não ao próprio gateway. Esse é o único teste que exercita o papel que alterou.

Mantenha as regras de escuta e as regras de encaminhamento separadas na cabeça e no registo de alterações. Abrir a porta VPN admite clientes ao serviço; não lhes concede nada na rede por trás, e os dois parecem idênticos numa lista de firewall que cresceu ao longo de anos.

Se os pacotes chegam e o serviço rejeita o utilizador, já passou da rede. Continue com a autorização da aplicação em vez de alargar novamente a política de encaminhamento.