OpenVPN සේවාදායකයට ළඟා වුවත් LAN සත්කාරක වෙත ළඟා නොවේ: පරීක්ෂණ ලැයිස්තුව

ටනලය සක්‍රීයයි සහ සේවාදායකය පිළිතුරු දෙයි, නමුත් LAN සත්කාරක නිහඬව පවතී. පැකට්ටුව සේවාදායක මාර්ගයේ සිට ආපසු මාර්ගය දක්වා අනුගමනය කර, පසුව NAT හෝ ස්ථිතික මාර්ගය තෝරන්න.

සේවාදායකය සම්බන්ධයි යැයි කියයි, ටනල් ලිපිනය ping වලට පිළිතුරු දෙයි, කාර්යාලයේ LAN එකේ කිසිවක් පිළිතුරු දෙන්නේ නැත. සෑම සේවාදායක යාවත්කාලීනයකට පසුව පාහේ මට මෙය පෙනේ, පළමු ප්‍රවණතාවය firewall එක විවෘත කිරීමයි, එය සාමාන්‍යයෙන් වැරදි පියවරකි: ටනලය හොඳයි, බිඳීම පැකට්ටුව තරණය කළ යුතු හොප් තුනෙන් එකකය. පැකට්ටුව යන අනුපිළිවෙලට මාර්ගය ගමන් කරන්න, පළමුව සේවාදායක මාර්ගය, පසුව සේවාදායකයේ යැවීම, පසුව ආපසු ගමන, එවිට මිනිත්තු කිහිපයකින් දෝෂයේ හිමිකරු සොයාගනු ඇත.

පළමු පියවර: සේවාදායකයේ මාර්ගගත කිරීමේ තීරණය නිරීක්ෂණය කරන්න

සේවාදායකය ස්පර්ශ කිරීමට පෙර, සේවාදායකය පැකට්ටුව ටනලයට යවන බව ඔප්පු කරන්න. සම්පූර්ණ වගුව කියවනවා වෙනුවට, එක් නිශ්චිත LAN සත්කාරකයක් සඳහා කර්නලය කුමන අතුරුමුහුණත භාවිත කරයිදැයි අසන්න:

ip route get 192.168.50.10

පිළිතුර ඔබේ භෞතික ඇඩැප්ටරය සහ කාර්යාල ගේට්වේ නම් කරන්නේ නම්, සේවාදායක පැත්තේ කිසිදු වෙනසක් උපකාර කළ නොහැක. OpenVPN මාර්ග බෙදා හරින්නේ සේවාදායකය ඒවා තල්ලු කරන විටය, එබැවින් සේවාදායක වින්‍යාසයේ push "route 192.168.50.0 255.255.255.0" සොයා, පසුව සේවාදායකය නැවත සම්බන්ධ කරන්න. බොහෝ සේවාදායක තල්ලු කළ මාර්ග සම්බන්ධ වන විට යොදයි, පැතිකඩ නැවත පූරණය කරන විට නොවේ.

Windows හි එකම ප්‍රශ්නයට වෙනත් විධානයක් ඇත. Find-NetRoute -RemoteIPAddress 192.168.50.10 තොගය තෝරන අතුරුමුහුණත සහ ඊළඟ හොප් මුද්‍රණය කරයි, route print -4 තල්ලු කළ උපසර්ගය කිසිසේත් පවතීදැයි පෙන්වයි.

දෙවන පියවර: සේවාදායකය පැකට්ටුව යවන බව තහවුරු කරන්න

සේවාදායක මාර්ගය නිවැරදි නම්, පැකට්ටුව සේවාදායකයට ළඟා වන අතර සේවාදායකය එය යැවීමට එකඟ විය යුතුය. කර්නල ස්විචය පළමු දොරටුවයි, sysctl net.ipv4.ip_forward 1 ලෙස ආපසු දිය යුතුය. echo 1 > /proc/sys/net/ipv4/ip_forward සමඟ එය සැකසීම ඊළඟ නැවත ආරම්භය දක්වා ක්‍රියා කරයි, එබැවින්ම එම පැමිණිල්ල සති කිහිපයකින් නැවත පැමිණේ.

නැවත ආරම්භයක් ඉතිරි වන තැනක එය ලියන්න:

echo 'net.ipv4.ip_forward = 1' > /etc/sysctl.d/99-openvpn-forward.conf
sysctl --system

දෙවන දොරටුව පෙරහන් වගුවයි. Docker ස්ථාපිත සත්කාරකයකට බොහෝ විට FORWARD ප්‍රතිපත්තිය DROP වේ, ටනලය එම තීරණය උරුම කර ගනී. iptables -L FORWARD -v -n ප්‍රතිපත්තිය සහ පැකට්ටු ගණන් කරන්නන් දෙකම පෙන්වයි; ප්‍රතිපත්තිය DROP නම්, යැවීමට ටනලයේ සිට LAN දිශාවට පැහැදිලි අවසරයක් සහ පිළිතුර සඳහා තවත් එකක් අවශ්‍යයි.

තෙවන පියවර: පැකට්ටුව LAN දක්වා අනුගමනය කර පිළිතුර සොයන්න

සේවාදායකයේ දෙපැත්තම එකවර නිරීක්ෂණය කරන්න. ටනලයේ සහ LAN අතුරුමුහුණතේ ග්‍රහණය කරන්න, එක් සේවාදායකයක් සහ එක් සත්කාරකයක් වෙත පෙරහන් කර ප්‍රතිදානය කියවිය හැකි ලෙස තබා ගන්න:

tcpdump -ni tun0 host 192.168.50.10
tcpdump -ni eth0 host 192.168.50.10

tun0 මත සහ නැවත eth0 මත 10.8.0.x මූලාශ්‍රයක් සහිතව දිස්වන ඉල්ලීම්, ඉන්පසු නිහඬතාවය, යනු පැකට්ටුව පැමිණ ඇති අතර පිළිතුර වෙනත් තැනකට ගොස් ඇති බවයි. LAN සත්කාරකය එහි පෙරනිමි ගේට්වේ වෙත පිළිතුරු දෙයි, එම ගේට්වේට VPN තටාකය සඳහා මාර්ගයක් නැත, පිළිතුර LAN රවුටරයේ මිය යයි. සේවාදායකයෙන් LAN සත්කාරකයට ping කිරීම මෙම මාර්ගය ගැන කිසිවක් ඔප්පු නොකරයි, එම ගමන් ටනලය කිසිදා තරණය නොකරන බැවිනි.

හතරවන පියවර: පරිවර්තනය සහ ආපසු මාර්ගය අතරින් තෝරන්න

අලුත්වැඩියා දෙකක් සිදුර වසා දමයි, මෙම තේරීම ping ක්‍රියා කරයිද යන්නෙන් ඔබ්බට ප්‍රතිවිපාක ඇත. මූලාශ්‍ර පරිවර්තනය සේවාදායකය දෘශ්‍ය යවන්නා බවට පත් කරයි:

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

රීතිය තටාකයට සහ LAN අතුරුමුහුණතට සීමා කර, පසුව එය ස්ථිර කරන්න, නැතහොත් ඊළඟ firewall නැවත පූරණය ඔබේ නිවැරදි කිරීම නිශ්ශබ්දව ඉවත් කරයි. මිල වන්නේ අනන්‍යතාවයයි: LAN ලඝු සටහන් සහ ප්‍රවේශ නීතිවල සෑම සේවාදායකයක්ම VPN සේවාදායකය මෙන් පෙනේ, සහ per-client policy becomes guesswork.

LAN රවුටරයේ VPN සේවාදායකය වෙත යොමු වන 10.8.0.0/24 සඳහා ස්ථිතික මාර්ගයක් සේවාදායක ලිපින දෘශ්‍යව තබා ගනී, එම රවුටරය ඔබේ නම් එය දිගුකාලීනව හොඳම පිළිතුරයි. බොහෝ අඩවි කලක් දෙකම ධාවනය කරයි, ක්ෂණික අලුත්වැඩියාවට NAT සහ firewall ප්‍රතිපත්තිය ලියා ඇති පසු මාර්ගය. සේවාදායකය තටාකයක් නොව අඩවි-සිට-අඩවි සහකරුවෙකු නම්, සේවාදායක පැත්තටද දුරස්ථ උපජාලය සඳහා iroute අවශ්‍යයි, නැතහොත් සහකරු මාර්ගය පවතී නමුත් සේවාදායක ගමන් එය සමඟ කිසිදා සම්බන්ධ නොවේ.

පස්වන පියවර: සේවාදායකයෙන් තහවුරු කර කුමක් වෙනස් වුණිද යන්න සටහන් කරන්න

ලූපය සේවාදායකයෙන් නොව ග්‍රාහකයෙන් වසන්න. LAN සත්කාරකයේ සැබෑ සේවාවකට සම්බන්ධ වී, පසුව iptables -t nat -L POSTROUTING -v -n සමඟ පරිවර්තන ගණන් කරන්නන් චලනය වූ බව තහවුරු කරන්න, ශුන්‍ය පැකට්ටු රීතියක් යනු කිසිදා නොගැලපුණු රීතියකි. ආපසු දිශාව නිරීක්ෂණය වන බවට සාක්ෂි අවශ්‍ය විට conntrack -L -s 10.8.0.5 ප්‍රවාහය සහ එහි තත්ත්වය පෙන්වයි.

සේවාදායක වින්‍යාසයේ සටහනක් තබන්න: කුමන උපජාලය, කුමන අතුරුමුහුණත, කුමන රීතිය, සහ LAN රවුටරයට ආපසු මාර්ගයක් තිබේද යන්න. ඊළඟ වතාවේ සේවාදායක යාවත්කාලීනයක් තල්ලු කළ මාර්ගයක් මකා දැමූ විට, එම සටහන ගිනි නිවන සැසියක් එක් පේළියක අලුත්වැඩියාවක් බවට හරවයි.

අදාළ ලිපි