Tunel deluje, interneta ni: kje se ustavi posredovanje

Odjemalec se poveže, tunel prenaša ping do prehoda, in nič za njim se ne odziva. To stanje je običajno za prehod, ki je bil ves čas namenjen le dostopu do zaščitenih omrežij, in je napaka za prehod, ki se oglašuje kot izhod polnega tunela. Preden spremenite pravila, potrdite, katera storitev je bila obljubljena. Nato sledite eni javni zahtevi skozi štiri mesta, kjer se lahko ustavi. Ena zahteva in en posnetek paketov razrešita več kot stran ugibanj.

Potrdite, ali je bil izhod v internet kdaj zasnova

Profil razdeljenega tunela usmerja v VPN le zaščitena podomrežja, zato se javno brskanje nadaljuje po lokalni povezavi in se prehoda nikoli ne dotakne. Profil polnega tunela v tunel namesti privzeto pot, zaradi česar je prehod odgovoren za celotno pot. Oba sta legitimni zasnovi, njuno zamenjevanje pa ustvari poročilo o napaki, kjer je ni. Preberite poti, ki jih oglašuje odjemalec, preden preizkusite karkoli drugega, saj tabela usmerjanja odgovori na vprašanje, ki ga zahtevek običajno zastavi napačno.

Kar namesti odjemalec, ni vedno tisto, kar profil predvideva. Potisnjeno pot lahko preglasi lokalna pot z nižjo metriko, odjemalec, ki obdrži pot LAN, medtem ko doda privzeto pot, pa se za to podomrežje obnaša kot razdeljen tunel.

Sledite eni javni zahtevi

Izberite en cilj in mu sledite od odjemalca navzven. Na odjemalcu preverite, ali paket res izbere tunel in kateri lokalni naslov uporablja kot vir. Nato preverite prehod: ali paket prispe in ali zapusti javni vmesnik. Vsak od teh odgovorov odstrani celo kategorijo vzrokov.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Če prehod paketa nikoli ne vidi, sta pot odjemalca ali izbira tunela napačni. Če prispe in ne odide, je težava na prehodu, in veljajo preostale tri preveritve.

Preverite posredovanje, pot in prevajanje

Navodila za posredovanje, ki jih prinaša strongSwan, veljajo za prehod katere koli vrste tunela: jedru mora biti dovoljeno premikanje paketov med vmesniki, uporabna pot pa mora kazati proti internetu. Politika požarnega zidu mora nato dovoliti promet, izvorni naslov pa mora biti tak, da lahko javna stran nanj odgovori. Zasebni naslov odjemalca, posredovan nespremenjen v internet, nikoli ne prejme odgovora.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Prevajanje vira je običajni manjkajoči del. Z njim prehod prepiše vir odjemalca na svoj javni naslov in spremlja tok; brez njega odgovor nima kam iti. Oblakovne platforme dodajo drugo mejo, kjer lahko tabela usmerjanja ali varnostna skupina primerka zavrže promet, ki ga požarni zid gosta dovoli. To mejo je lahko spregledati, ker je sistem gosta od znotraj videti pravilno nastavljen.

Filtriranje povratne poti pri asimetrični nastavitvi lahko prav tako zavrže veljavne pakete. Preberite števec tega pravila, namesto da domnevate, da je v redu, ker stroga nastavitev na javnem vmesniku zavrača promet, ki prispe po drugi poti, kot jo predvideva tabela usmerjanja.

Pot odgovora in razreševalnik sta dva različna odgovora

Opazujte tudi odgovor, ne le zahtevo. Če zahteva odide prevedena in se odgovor vrne v prevedeni tok, posredovanje deluje tudi, ko aplikacija še vedno ne uspe, in naslednja preiskava pripada aplikaciji ali DNS.

Spletno mesto, ki vrne napako HTTP, je dokaz, da posredovanje v internet deluje. Ime, ki se ne razreši, medtem ko dostop po naslovu deluje, je težava razreševalnika, ne NAT.

Po natančnem popravku znova preizkusite odjemalec in vsak namerno omejen zasebni vir. Dodelitev dostopa do interneta ne sme tiho razširiti dostopa na vsako omrežje, priključeno na prehod.