Tunel beží, internet nie: kde sa zastaví preposielanie

Overenie identity a funkčný tunel ešte neznamenajú odchod do internetu. Sledujte jednu požiadavku cez adresovanie zdroja, preposielanie a spätnú cestu.

Klient sa pripojí, tunel prenáša pingy k bráne a nič za ňou neodpovedá. Tento stav je normálny pre bránu, ktorá mala vždy slúžiť len na prístup do chránených sietí, a je poruchou pre bránu inzerovanú ako výstup plného tunela. Skôr než zmeníte pravidlá, overte, aká služba bola prisľúbená. Potom sledujte jednu verejnú požiadavku štyrmi miestami, kde sa môže zastaviť. Jedna požiadavka a jeden záznam paketov vyriešia viac než strana dohadov.

Overte, či bol odchod do internetu vôbec zámerom

Profil rozdeleného tunela smeruje do VPN len chránené podsiete, takže verejné prehliadanie pokračuje cez miestne spojenie a brány sa nikdy nedotkne. Profil plného tunela nainštaluje do tunela predvolenú trasu, čím sa brána stáva zodpovednou za celú cestu. Oba sú legitímne návrhy a ich zámena vytvára hlásenie poruchy tam, kde žiadna nie je. Prečítajte si trasy inzerované klientom, než začnete testovať čokoľvek iné, pretože tabuľka trás odpovedá na otázku, ktorú tiket zvyčajne kladie nesprávne.

To, čo klient nainštaluje, nie je vždy to, čo profil zamýšľa. Zaslanú trasu môže prepísať miestna trasa s nižšou metrikou a klient, ktorý si ponecháva trasu do LAN a zároveň pridáva predvolenú trasu, sa pre túto podsieť správa ako rozdelený tunel.

Sledujte jednu verejnú požiadavku

Vyberte jeden cieľ a sledujte ho od klienta von. Na klientovi skontrolujte, či paket skutočne volí tunel a ktorú miestnu adresu používa ako zdroj. Potom skontrolujte bránu: prichádza paket a opúšťa verejné rozhranie. Každá z týchto odpovedí odstraňuje celú kategóriu príčin.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Ak brána paket nikdy nevidí, je nesprávna trasa klienta alebo voľba tunela. Ak dorazí a neodíde, problém je na bráne a platia zvyšné tri kontroly.

Skontrolujte preposielanie, trasu a preklad

Pokyny na preposielanie dodávané so strongSwanom platia pre bránu akéhokoľvek typu tunela: jadru musí byť povolené presúvať pakety medzi rozhraniami a použiteľná trasa musí ukazovať k internetu. Politika firewallu potom musí prevádzku povoliť a zdrojová adresa musí byť taká, aby na ňu verejná strana mohla odpovedať. Súkromná adresa klienta preposlaná bez zmeny do internetu nikdy nedostane odpoveď.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Preklad zdroja je obvyklý chýbajúci diel. S ním brána prepíše zdroj klienta na svoju verejnú adresu a sleduje tok; bez neho odpoveď nemá kam ísť. Cloudové platformy pridávajú druhú hranicu, kde tabuľka trás alebo bezpečnostná skupina inštancie môže zahodiť prevádzku, ktorú firewall hosťa povoľuje. Túto hranicu možno ľahko prehliadnuť, pretože systém hosťa vyzerá zvnútra správne nastavený.

Filtrovanie spätnej cesty pri asymetrickom usporiadaní môže tiež zahadzovať platné pakety. Prečítajte si počítadlo tohto pravidla, namiesto toho, aby ste predpokladali, že je v poriadku, pretože prísne nastavenie na verejnom rozhraní odmieta prevádzku, ktorá prichádza inou cestou, než predpovedá tabuľka trás.

Spätná cesta a resolver sú dve rôzne odpovede

Sledujte aj odpoveď, nielen požiadavku. Ak požiadavka odchádza preložená a odpoveď sa vracia do preloženého toku, preposielanie funguje aj vtedy, keď aplikácia stále zlyháva, a ďalšie vyšetrovanie patrí aplikácii alebo DNS.

Web, ktorý vráti chybu HTTP, je dôkazom, že preposielanie do internetu funguje. Meno, ktoré sa nevyrieši, zatiaľ čo prístup podľa adresy funguje, je problém resolvera, nie NAT.

Po úzkej oprave znova otestujte klienta aj každý zámerne obmedzený súkromný zdroj. Udelenie prístupu k internetu nesmie potichu rozšíriť prístup do každej siete pripojenej k bráne.

Súvisiace články