Prehod VPN potrebuje posredovanje IP: kaj preveriti

Vaš odjemalec lahko pinga naslov prehoda, medtem ko vsi viri za njim ostanejo nedosegljivi. Ta par opažanj opisuje gostitelja, ki govori z vami, in usmerjevalnik, ki ne usmerja, kar sta različni vlogi na istem stroju. Posredovanje je stikalo med njima.

Vlogi sta neodvisni, prav tako obe družini naslovov.

Odgovor na lastni naslov ne dokaže ničesar

Ko je paket naslovljen na sam prehod, ga lokalni sklad porabi in nobena odločitev o posredovanju ni sprejeta. Zato uspešen ping na naslov tunela ali na upravljalni vmesnik pove, da je demon živ in tunel dvignjen, ne pove pa ničesar o prometu, namenjenem omrežju za škatlo. Jedro pregleda svojo pot posredovanja le za pakete, ki niso naslovljeni nanj.

Zahtevo berite kot vlogo, ne kot nastavitev: ta gostitelj mora premikati pakete med dvema vmesnikoma. Prenosnik, ki mora le doseči oddaljeno omrežje, te vloge nikoli ne prevzame, končna točka od mesta do mesta pa jo vedno. Takšno branje zahteve pojasni, zakaj delujoča konfiguracija odjemalca odpove, ko jo premaknemo na prehod.

Ista poved velja za požarni zid pred odločitvijo o posredovanju, ki ima svojo politiko o tem, kaj se sme posredovati.

Preverite vsako družino naslovov posebej

Posredovanje IPv4 je eno stikalo, posredovanje IPv6 pa drugo z lastnim vedenjem na posameznem vmesniku. Vklop prvega ne pove ničesar o drugem, odjemalec z dvojnim skladom pa lahko doseže polovico omrežja, medtem ko ostane temno. Dva odjemalca različnih družin se zato lahko ne strinjata glede istega prehoda. Pred urejanjem katere koli nastavitve vprašajte, katero družino je uporabil odjemalec, ki mu spodleti. Potrdite oba, preden sklepate, da je zasnova usmerjanja napačna.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

V mnogih distribucijah je vrednost, ki jo berete med izvajanjem, tja postavila storitev ali konfiguracijska datoteka, zato sprememba, narejena z enkratnim ukazom, lahko ob ponovnem zagonu izgine. Pred urejanjem izvajalne vrednosti poiščite datoteko, ki je lastnica nastavitve.

Posredovanje je ena od štirih zahtev

Delujoč posredovan tok potrebuje štiri stvari hkrati: odjemalec mora vedeti, da je cilj za tunelom, prehod mora imeti pot naprej, odgovori morajo imeti pot nazaj, požarni zid pa mora dovoliti promet. Prevod vira sodi v to zasnovo kot možnost, ne kot pravilo, ker zasebno usmerjeno omrežje s simetričnimi potmi tega ne potrebuje, asimetrično pa ga običajno potrebuje. Vsaka od štirih odpove neodvisno, zato popravilo ene redko premakne simptom. Zapišite vse štiri, preden katero koli spremenite.

Oblačne platforme dodajo peti vidik. Nekatere na instancah uveljavljajo preverjanja vira in cilja, kar zavrže posredovane pakete ne glede na to, kako je konfigurirano jedro gosta. Tam je merodajna lastna omrežna dokumentacija platforme, ne izpis sysctl znotraj VM.

Preizkušajte z odjemalca, ne s prehoda

Preizkus, zagnan v lupini prehoda samega, ne preide nobenega dela poti posredovanja, ki ste jo pravkar omogočili. Ustvarite promet z odjemalca, ki ima težavo, in potrdite, da doseže nekaj za prehodom, ne prehoda samega. To je edini preizkus, ki izvaja spremenjeno vlogo.

Pravila poslušanja in pravila posredovanja imejte ločena v glavi in v dnevniku sprememb. Odpiranje vrat VPN spusti odjemalce v storitev; v omrežju za njimi jim ne da ničesar, in v seznamu požarnega zidu, ki je rasel leta, sta oba videti enako.

Če paketi prispejo in storitev nato zavrne uporabnika, ste že onstran omrežja. Nadaljujte z avtorizacijo aplikacije, namesto da znova širite politiko posredovanja.