Tunel radi, interneta nema: gdje se zaustavlja prosljeđivanje

Klijent se povezuje, tunel prenosi pingove do pristupnika, a ništa iza njega ne odgovara. To stanje je normalno za pristupnik koji je oduvijek trebao pružati samo pristup zaštićenim mrežama, a kvar je za onaj koji se oglašava kao izlaz punog tunela. Prije izmjene pravila potvrdite koja je usluga obećana. Zatim pratite jedan javni zahtjev kroz četiri mjesta na kojima se može zaustaviti. Jedan zahtjev i jedno snimanje paketa rješavaju više od stranice nagađanja.

Potvrdite je li izlaz na internet ikada bio dizajn

Profil podijeljenog tunela usmjerava samo zaštićene podmreže u VPN, pa se javno pregledavanje nastavlja preko lokalne veze i nikada ne dodiruje pristupnik. Profil punog tunela instalira zadanu rutu u tunel, što pristupnik čini odgovornim za cijeli put. Oba su legitimna dizajna, a njihovo miješanje stvara izvještaj o kvaru gdje ga nema. Pročitajte rute koje klijent oglašava prije bilo kakvog drugog testiranja, jer tablica ruta odgovara na pitanje koje zahtjev obično postavlja pogrešno.

Ono što klijent instalira nije uvijek ono što profil namjerava. Gurnutu rutu može nadjačati lokalna ruta s nižom metrikom, a klijent koji zadržava LAN rutu dok dodaje zadanu rutu ponaša se kao podijeljeni tunel za tu podmrežu.

Pratite jedan javni zahtjev

Odaberite jedno odredište i pratite ga od klijenta prema van. Na klijentu provjerite odabire li paket doista tunel i koju lokalnu adresu koristi kao izvor. Zatim provjerite pristupnik: dolazi li paket i napušta li javno sučelje. Svaki od tih odgovora uklanja cijelu kategoriju uzroka.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Ako pristupnik nikada ne vidi paket, ruta klijenta ili odabir tunela nisu ispravni. Ako stigne i ne ode, problem je na pristupniku, a primjenjuju se preostale tri provjere.

Provjerite prosljeđivanje, rutu i prevođenje

Smjernice za prosljeđivanje koje dolaze sa strongSwanom vrijede za pristupnik bilo koje vrste tunela: jezgri mora biti dopušteno premještati pakete između sučelja, a upotrebljiva ruta mora pokazivati prema internetu. Pravila vatrozida zatim moraju dopustiti promet, a izvorna adresa mora biti ona na koju javna strana može odgovoriti. Privatna adresa klijenta proslijeđena nepromijenjena na internet nikada ne dobiva odgovor.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Prevođenje izvora je uobičajeni dio koji nedostaje. S njim pristupnik prepisuje izvor klijenta na svoju javnu adresu i prati tok; bez njega odgovor nema kamo otići. Cloud platforme dodaju drugu granicu, gdje tablica ruta ili sigurnosna grupa instance može odbaciti promet koji vatrozid gosta dopušta. Tu je granicu lako propustiti jer sustav gosta iznutra izgleda ispravno konfiguriran.

Filtriranje obrnutog puta u asimetričnom postavu također može odbaciti valjane pakete. Pročitajte brojač tog pravila umjesto da pretpostavite da je u redu, jer stroga postavka na javnom sučelju odbija promet koji dolazi drugim putem od onoga koji tablica ruta predviđa.

Put povratka i razrješivač dva su različita odgovora

Pazite i na odgovor, ne samo na zahtjev. Ako zahtjev izađe preveden i odgovor se vrati u prevedeni tok, prosljeđivanje radi čak i kad aplikacija još ne uspijeva, a sljedeća istraga pripada aplikaciji ili DNS-u.

Stranica koja vrati HTTP pogrešku dokaz je da prosljeđivanje na internet radi. Ime koje se ne razrješava dok pristup po adresi radi problem je razrješivača, a ne NAT-a.

Nakon uske ispravke ponovno testirajte klijent i svaki namjerno ograničeni privatni resurs. Davanje pristupa internetu ne smije tiho proširiti pristup na svaku mrežu povezanu s pristupnikom.