රවුට් කළ VPN සේවාලාභියා සේවාදායකයට ළඟා වුවත් LAN සත්කාරකවලට ළඟා නොවේ

ටනලය ඉහළ එයි, සේවාලාභියා VPN සේවාදායකයට පිංග් කරයි, එක් පියවරක් ඈතින් ඇති යන්ත්‍රයක ඇති බෙදාගත් ෆෝල්ඩරය කිසිදා පිළිතුරු නොදේ. සේවාලාභී සැකසුමේ මෙය පැහැදිලි කරන කිසිවක් නැත, මක්නිසාද ඉල්ලීම සේවාලාභියාගෙන් සැබවින්ම පිටවී සැබවින්ම පැමිණියේය. අසාර්ථක වූයේ ආපසු ගමනයි, අසාර්ථක වූ උපාංගය සාමාන්‍යයෙන් VPN සත්කාරකය නොව LAN ගේට්වේය. පිළිතුරු පැකට්ටුව හඹා යාමෙන් මෙම මුළු රෝග ලක්ෂණ පන්තියම පැහැදිලි වේ.

ඉල්ලීම නොව පිළිතුර අනුගමනය කරන්න

VPN සේවාදායකය සේවාලාභී පැකට්ටුව විග්‍රහ කර LAN වෙත යොමු කරයි, සේවාලාභී ලිපිනය තවමත් මූලාශ්‍ර ක්ෂේත්‍රයේ පවතී. ගමනාන්ත සත්කාරකය එම ලිපිනයට පිළිතුරු දෙයි, දැන් එහිම යොමු කිරීම් වගුව සියල්ල තීරණය කරයි. එහි පෙරනිමි ගේට්වේ ටනල් තටාකය ගැන කිසිවක් නොදනී, එබැවින් පිළිතුර අන්තර්ජාල සැපයුම්කරු දෙසට පිටවී එම මාර්ගයේ කොහේදී හෝ ඉවත හෙළයි.

සේවාලාභියා තුළ රෝග ලක්ෂණය නිහඬ කාල ඉකුත්වීමකි: ප්‍රතික්ෂේපයක් නැත, නැවත සැකසීමක් නැත, කිසිවක් නැත. බෙදාගත් ෆෝල්ඩරය බ්‍රව්ස් කිරීම එල්ලේ, පිංග් පිළිතුරක් නැති බව වාර්තා කරයි, සේවාදායක ලොග සුවපහසු ලෙස පෙනේ මක්නිසාද සේවාදායකය එහි කාර්යය කළේය.

ආපසු මාර්ගය සත්කාරක බලන තැන තබන්න

සෑම LAN සත්කාරකයක්ම එහි පෙරනිමි ගේට්වේ අසයි, එබැවින් ටනල් තටාකය කොහේදැයි දැනගත යුතු එකම උපාංගය ගේට්වේය. එහි ස්ථිතික මාර්ගයක් එකතු කරන්න, සෑම සත්කාරකයක්ම ස්පර්ශ නොකර නිවැරදි මාර්ගය උරුම කරගනී.

ගේට්වේ එහි ලිපිනය DHCP විකල්පයක් ලෙස බෙදාහරින්නේ නම්, මාර්ගය එලෙසම බෙදාහරින්න, එවිට නව යන්ත්‍ර ස්වයංක්‍රීයව එය ගනී. නොඑසේ නම් මාර්ගය එක් වින්‍යාස ගොනුවක ජීවත් වී ඊළඟ නැවත ගොඩනැගීමේදී අතුරුදහන් වේ.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

මූලාශ්‍ර NAT මෙය අලුත්වන ලෙස පෙනෙන්නේ ඇයි

සේවාලාභී තටාකය VPN සේවාදායකයේ ලිපිනය පිටුපස සැඟවීමෙන් පැකට්ටුවෙන් සේවාලාභී ලිපිනය ඉවත් කර ගැටලුව ඉවත් කරයි. එවිට පිළිතුරු ටනලයට ළඟා වන ආකාරය දැනටමත් දන්නා සේවාදායකය වෙත ආපසු එයි, සියල්ල ක්‍රියා කරයි. මිල වන්නේ අභ්‍යන්තර සත්කාරකවලට සේවාලාභියා කවුරුන්දැයි දැකීමට නොහැකි වීමයි, සෑම සම්බන්ධතාවයක්ම එක් යන්ත්‍රයකින් පැමිණෙන ලෙස පෙනේ.

එම හුවමාරුව සමහර විට නිවැරදිය, උදාහරණයක් ලෙස සැපයුම්කරුගේ උපාංගයකට ස්ථිතික මාර්ගයක් දිය නොහැකි විට. නියමය වර්තමාන තටාකයට වඩා පළල් නොකරන්න, මක්නිසාද /24 සඳහා ලියූ නියමය තටාකය /16 ලෙස නැවත අංකනය වන දින සිට නොගැලපේ, පළමු සංඥාව වන්නේ සම්බන්ධ වී කිසිවකට ළඟා නොවන නව සේවාලාභීන් සමූහයකි.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

ක්ලවුඩ් මාර්ගයට සැකසුම් තුනක් අවශ්‍යයි

VPC එකක එම හිඩැසම වෙනත් ස්වරූපයකින් ආපසු එයි, මක්නිසාද උපජාලයට සේවාලාභී පරාසය සඳහා කිසිදු මාර්ගයක් නැත. මාර්ග වගුවට ටනල් තටාකය සඳහා අවස්ථාවේ ජාල අතුරුමුහුණත ඉලක්ක කරන ප්‍රවේශයක් අවශ්‍යයි, අතුරුමුහුණතේ මූලාශ්‍ර සහ ගමනාන්ත පරීක්ෂාව අක්‍රීය කර තිබිය යුතුය, එවිට වේදිකාව තමන්ගේ ලිපිනය නොවන මූලාශ්‍රයක් සහිත පැකට්ටු පිළිගනී. ආරක්ෂක කණ්ඩායම් සහ ජාල ACL ද තටාකය දෙපැත්තටම ඉඩ දිය යුතුය.

සෑම අතහැරීමක්ම වෙනස් අර්ධ අසාර්ථකත්වයක් ඇති කරයි. මාර්ග වගුවේ ප්‍රවේශය මඟ හැරියොත් පෞද්ගලික අවස්ථා පිළිතුර තටාකයට ආපසු ගෙන යා නොහැකි උපජාලයකට පිළිතුරු දෙයි. පරීක්ෂාව තවමත් ක්‍රියාත්මක නම්, අවස්ථාව දැනටමත් යැවූ පසු වේදිකාව පිළිතුර ඉවත හෙළයි. ආරක්ෂක කණ්ඩායම් නියමය නොමැතිව ඉල්ලීමම කිසිදා නොපැමිණේ, සේවාලාභියා කාල ඉකුත්වීම එක් ස්තරයක් කලින් දකී.

පරීක්ෂා මෙම අනුපිළිවෙලින් කරන්න

යොමු කිරීමට දොස් පැවරීමට පෙර යොමු කිරීම සහ පෙරහන් ප්‍රතිපත්තිය තහවුරු කරන්න, මක්නිසාද යොමු නොකරන සත්කාරකයද එම නිහඬ ආකාරයෙන්ම අසාර්ථක වේ. පසුව ටනලය දරන අතුරුමුහුණතේ ඵලදායී ප්‍රතිලෝම මාර්ග සැකසුම කියවන්න, මක්නිසාද දැඩි පෙරහනක් අනපේක්ෂිත දිශාවකින් පැමිණෙන පිළිතුරු ඉවත හෙළිය හැක.

සේවාලාභියා LAN සත්කාරකයට පිංග් කරන අතරතුර එහි ගන්නා ලද ග්‍රහණයකින් අවසන් කරන්න. ගැලපෙන පිළිතුරක් නොමැතිව පැමිණෙන ඉල්ලීම ආපසු මාර්ගය ඔප්පු කරයි, කිසිදා නොපැමිණෙන ඉල්ලීම දෝෂය සේවාදායකයට හෝ ටනලයට ආපසු තල්ලු කරයි.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

මූලාශ්‍ර සහ ගමනාන්ත පරීක්ෂාව ප්‍රත්‍යස්ථ ජාල අතුරුමුහුණත් මාර්ගෝපදේශයේ ලේඛනගත කර ඇත. ටනල් රථවාහන ඇත්ත වශයෙන්ම දරන අතුරුමුහුණතේ එය සකසන්න, එම අවස්ථාවට සම්බන්ධ කර ඇති අදාළ නොවන අනුවර්තකයේ නොව.