Klientët OpenVPN të urëzuar nuk kanë internet? Kontrolloni rregullin NAT

Serveri i urëzuar është aktiv, rregulli masquerade është aty, dhe shfletuesi në klient vazhdon të rrotullohet. Gjithçka duket sikur duhet të funksionojë, prandaj ora e parë shkon për kontrollimin e tunelit dhe kredencialeve. Më pas lexoni numëruesin e rregullit NAT dhe gjeni një zero që nuk është lëvizur. Një rregull që nuk ka numëruar kurrë asnjë paketë nuk është përputhur kurrë me një, dhe në një server të urëzuar arsyeja është strukturore: trafiku i klientit del përmes pajisjes virtuale tap, ndërsa rregulli emërton kartën fizike që keni kopjuar nga një udhëzues më i vjetër.

Numëruesi është prova, jo zëri në tabelë

Rregullat që ekzistojnë dhe rregullat që përputhen janë gjëra të ndryshme, dhe numëruesi është ai që i ndan. Listoni tabelën NAT me numërues të hollësishëm dhe lexoni numrat pranë çdo rregulli përpara se të ndryshoni ndonjë gjë. Një numërues i ndalur në zero ndërsa trafiku rrjedh do të thotë që rregulli u anashkalua, sado të arsyeshme të duken adresat e tij. Një numërues që ngjitet ndërsa lidhja vazhdon të dështojë ju dërgon diku tjetër: te përcjellja, rruga e kthimit ose skaji i largët.

iptables -t nat -L POSTROUTING -v -n

Lexoni së pari numëruesin pranë përputhjes së ndërfaqes. Nëse diapazoni i burimit është i saktë dhe ana e daljes është e gabuar, rregullimi është një fjalë në rregull, jo një rregull krejt i ri.

Gjeni emrin që kerneli regjistron në të vërtetë

Identifikoni emrin e pajisjes së tunelit përpara se të shkruani rregullin, duke përdorur listën e ndërfaqeve dhe jo kujtesën. Në një konfigurim OpenVPN të urëzuar pajisja zakonisht është një ndërfaqe tap e krijuar nga serveri, dhe emri i saj është pjesë e konfigurimit tuaj lokal, jo një konstante universale. Konfirmoni se ekziston ndërsa tuneli është aktiv, sepse një pajisje që shfaqet vetëm pasi lidhet një klient do ta bëjë një test të mëparshëm të duket si problem me rregullin.

ip -brief link

Shkruajeni emrin. Çdo komandë e mëvonshme në këtë diagnozë i referohet atij, dhe një gabim shtypi këtu prodhon saktësisht të njëjtin numërues zero si gabimi fillestar.

Rishkruani rregullin për pajisjen e tunelit

Drejtojeni rregullin nga pajisja e tunelit dhe mbani diapazonin e klientëve si kusht përputhjeje, në mënyrë që të mbulojë trafikun e tunelit dhe t'i lërë të qeta lidhjet e vetë hostit. Zëvendësoni me diapazonin dhe emrin tuaj të pajisjes, sepse të dy më poshtë janë shembuj dhe asnjëri nuk është i transportueshëm midis instalimeve.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Më pas kontrolloni dy kushtet e tjera që i fsheh i njëjti simptom. Kontrolloni nëse përcjellja është e aktivizuar, dhe nëse nuk është, aktivizojeni në konfigurimin e vetë shpërndarjes dhe jo me një echo që zhduket pas rinisjes. Lexoni edhe numëruesit e zinxhirit forward dhe, nëse ai e hedh poshtë trafikun e tunelit, lejoni në mënyrë specifike atë ndërfaqe dhe lini politikën e zinxhirit të pandryshuar.

Leximi i zinxhirit forward me numërues kërkon një komandë dhe përjashton gjysmën e mundësive të mbetura përpara se të prekni një rregull tjetër.

Pse karta fizike nuk përputhet kurrë

Ura është një ndërprerës softuerik i ndërtuar nga pajisja tap dhe një ndërfaqe fizike. Korniza e klientit hyn në atë ndërprerës dhe del drejt rrjetit fizik si anëtar i urës, jo si paketë mbi kartë. Prandaj kerneli ia atribuon paketën urës dhe portës së saj, dhe prandaj karta që kishit në mendje nuk shfaqet kurrë në përputhje. Asgjë nuk është prishur në ndërfaqen fizike; thjesht nuk është pajisja së cilës kerneli ia atribuon atë paketë.

Problemi tjetër me të cilin njerëzit përballen vjen nga e njëjta strukturë: filtrimi i kornizave në një urë është një mundësi e veçantë nga filtrimi IP. Nëse kërkesa është kufizim në nivel kornize, ai i përket filtrimit të urës, jo një rregulli të tabelës IP.

Vërtetojeni nga fillimi në fund, pastaj bëjeni të përhershëm

Ngrini një klient të vetëm dhe pingoni diçka në LAN-in e serverit; ai rrugë ushtron përcjelljen pa asnjë përkthim. Pas kësaj, kërkoni diçka publike që rregulli masquerade të duhet të përdoret, dhe lexoni numëruesin edhe një herë: duhet të lëvizë për këtë test dhe jo për atë të mëparshmin. Një kapje e bërë në pajisjen e tunelit tregon si ku shfaqet korniza ashtu edhe çfarë adrese mbart.

Hapi i fundit: vendosni rregullat që funksionojnë në konfigurimin që lexon rinisja, dhe shënoni emrin e pajisjes që ura e këtij hosti përdor në të vërtetë. Gjithçka e shtypur me dorë humbet pas rinisjes, dhe e njëjta defekt kthehet pa asgjë që ta shpjegojë.

Nëse numëruesi nuk lëviz edhe pas rishkrimit, krahasoni diapazonin e burimit në rregull me adresën që klienti ka marrë në të vërtetë, sepse një server i urëzuar mund të japë adresa nga një diapazon që nuk e kishit ndërmend.