Odjemalci LAN ignorirajo VPN usmerjevalnika, dokler se ne vklopi usmerjanje po pravilnikih

Usmerjevalnik doseže internet po svojem tunelu, medtem ko prenosnik za njim še vedno poroča naslov ISP. Dodajanje pravil za sprejem ne pomaga, in ta neuspeh je poučen: filtriranje odgovarja, ali sme paket skozi, ne kam gre. Izbira vmesnika je že opravljena s poizvedbo usmerjanja, ki ne ve ničesar o vašem seznamu odjemalcev. Popravite poizvedbo in požarni zid ni več osumljenec.

Pravilo filtra ne more izbrati vmesnika

Tok paketov na usmerjevalniku Linux najprej izvede odločitev o poti in nato kavelj forward. Ko se pravilo ujema z odhodno tunelsko napravo, se je jedro že odločilo, da je tunel pot ven. Če glavna tabela še vedno daje prednost privzeti poti skozi WAN, je paket na poti k ISP in pravilo za sprejem, ki ste ga pravkar napisali, ga nikoli ne vidi. To eno dejstvo o vrstnem redu pojasnjuje, zakaj stran novih pravil požarnega zidu ne spremeni ničesar.

Spodnji primer uporablja LAN 192.168.8.0/24 na br-lan, tunelsko napravo tun0 in en set-top box na 192.168.8.23, ki bi moral iti skozi tunel.

Preberite poizvedbo, preden urejate pravila

Prosite jedro, naj razreši pot v imenu tega odjemalca. Odgovor vsebuje odhodno napravo in izvorni naslov, ki bi bil izbran, in to je vse, kar potrebujete za potrditev diagnoze. Če odgovor navaja napravo WAN, paket ni imel nikoli možnosti priti do vašega pravila.

ip -4 route get 198.51.100.7 from 192.168.8.23

Ponovite poizvedbo za odjemalca, ki bi moral ostati na običajni poti. Ko oba odgovora navajata isto napravo, pravilo po viru še ne velja, in popravek spada v usmerjanje, ne v filtriranje.

Povežite tabelo z odjemalci, ki jih želite pokriti

Usmerjanje po pravilnikih vstavi iskanje pravil pred glavno tabelo. Zgradite tabelo, katere privzeta pot je tunel, nato jo povežite z izbirnikom: vhodni vmesnik, izvorni naslov ali oznaka požarnega zidu. Prioritete določajo vrstni red, glavna tabela pa je daleč spodaj na seznamu, na 32766, zato se pravilo z nizko številko preveri prvo. Izbirniki vmesnika pokrivajo vsakega odjemalca na mostu; izbirniki naslova pokrivajo en stroj.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Vmesniki strojne programske opreme običajno prikazujejo iste objekte kot stran usmerjanja po pravilnikih ali pravilnika VPN. Seznam naprav je tam lažje vzdrževati kot ročno napisana pravila in običajno preživi posodobitve, ki spreminjajo sintakso pravil.

Izbirnik izberite namerno. Pravilo vmesnika je kratko in odporno na prihodnost, vendar ujame tudi lasten upravljalski promet usmerjevalnika, ki prihaja na ta most. Pravilo vira je natančno in zahteva urejanje vsakič, ko se spremeni seznam naprav. Zapišite izbiro, ker jo bo potreboval naslednji človek, ki bo vprašal, zakaj se ena naprava obnaša drugače.

Držite lokalne cilje zunaj tunela

Nova tabela pozna samo poti, ki jih vanjo vnesete. Predpone LAN ni, zato bi promet tiskalnika in NAS sledil privzeti poti tunela in izginil. Pot throw konča iskanje v tej tabeli in vrne odločitev glavni tabeli.

ip -4 route add throw 192.168.8.0/24 table 200

Če to pot izpustite, se lokalne souporabe pokvarijo, lastna upravljalska seja usmerjevalnika pa lahko izgine, če je izbirnik širši od predvidenega. Nato razrešite vprašanje vira: tunelski paketi, ki še vedno nosijo naslove LAN, potrebujejo, da oddaljena stran pozna pot nazaj, medtem ko masquerading na tunelu to zahtevo odpravi in odpravi tudi identiteto odjemalca, ki bi jo oddaljena stran videla.

Pravila in poti, dodane med delovanjem, izginejo po ponovnem zagonu ali posodobitvi strojne programske opreme. Dodajte jih v zagonski mehanizem usmerjevalnika, enkrat znova zaženite in znova preizkusite z odjemalca: njegov javni naslov, drugega odjemalca, ki bi moral ostati na WAN, in števce tunela med novo povezavo.