Klientët e LAN-it e injorojnë VPN-në e ruterit derisa aktivizohet rrugëzimi sipas politikave

Ruteri arrin internetin përmes tunelit të tij, ndërsa laptopi pas tij vazhdon të raportojë adresën e ISP-së. Shtimi i rregullave të pranimit nuk ndihmon, dhe ky dështim është udhëzues: filtrimi përgjigjet nëse një paketë mund të kalojë, jo ku shkon. Zgjedhja e ndërfaqes tashmë është bërë nga një kërkim rrugëzimi që nuk di asgjë për listën tuaj të klientëve. Rregulloni kërkimin dhe muri i zjarrit nuk është më i dyshuari.

Një rregull filtri nuk mund të zgjedhë një ndërfaqe

Rrjedha e paketave në një ruter Linux ekzekuton fillimisht vendimin e rrugëzimit dhe më pas grepin forward. Kur një rregull përputhet me pajisjen e tunelit në dalje, kerneli tashmë ka vendosur që tuneli është rruga e daljes. Nëse tabela kryesore vazhdon të preferojë rrugën e parazgjedhur të WAN-it, paketa është në rrugë drejt ISP-së dhe rregulli i pranimit që sapo shkruani nuk e shikon kurrë. Ky fakt i vetëm i rendit shpjegon pse një faqe me rregulla të reja të murit të zjarrit nuk ndryshon asgjë.

Shembulli më poshtë përdor një LAN 192.168.8.0/24 në br-lan, një pajisje tuneli tun0 dhe një dekoder në 192.168.8.23 që duhet të përdorë tunelin.

Lexoni kërkimin përpara se të redaktoni rregullat

Kërkoni nga kerneli të zgjidhë një rrugë në emër të atij klienti. Përgjigja përfshin pajisjen e daljes dhe adresën e burimit që do të zgjidhej, dhe kjo është gjithçka që ju nevojitet për të konfirmuar diagnozën. Nëse përgjigja përmend pajisjen e WAN-it, paketa nuk pati kurrë mundësi të arrinte rregullin tuaj.

ip -4 route get 198.51.100.7 from 192.168.8.23

Përsëriteni pyetjen për një klient që duhet të mbetet në rrugën normale. Kur të dyja përgjigjet përmendin të njëjtën pajisje, nuk ka ende politikë sipas burimit, dhe korrigjimi i takon rrugëzimit dhe jo filtrimit.

Lidhni një tabelë me klientët që dëshironi të mbuloni

Rrugëzimi sipas politikave fut një kërkim rregullash përpara tabelës kryesore. Ndërtoni një tabelë rruga e parazgjedhur e së cilës është tuneli, pastaj lidhni atë tabelë me një përzgjedhës: një ndërfaqe hyrëse, një adresë burimi ose një shenjë e murit të zjarrit. Prioritetet vendosin rendin, dhe tabela kryesore është shumë poshtë në listë, në 32766, kështu që një rregull me numër të vogël konsultohet i pari. Përzgjedhësit e ndërfaqes mbulojnë çdo klient në urë; përzgjedhësit e adresës mbulojnë një makinë.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Ndërfaqet e firmuerit zakonisht shfaqin të njëjtat objekte si një faqe e rrugëzimit sipas politikave ose e politikës së VPN-së. Një listë pajisjesh atje është më e lehtë për t'u mirëmbajtur sesa rregullat e shkruara me dorë dhe zakonisht i mbijeton përditësimeve që ndryshojnë sintaksën e rregullave.

Zgjidhni përzgjedhësin me qëllim. Një rregull ndërfaqeje është i shkurtër dhe i qëndrueshëm në të ardhmen, por kap edhe trafikun e menaxhimit të vetë ruterit që arrin në atë urë. Një rregull burimi është i saktë dhe kërkon redaktim sa herë ndryshon lista e pajisjeve. Shkruani zgjedhjen, sepse do t'i duhet personit tjetër që pyet pse një pajisje sillet ndryshe.

Mbani destinacionet lokale jashtë tunelit

Një tabelë e re njeh vetëm rrugët që vendosni në të. Parashtesa LAN mungon, kështu që trafiku i printerit dhe NAS-it do të ndiqte rrugën e parazgjedhur të tunelit dhe do të zhdukej. Një rrugë throw e përfundon kërkimin në këtë tabelë dhe e kthen vendimin te tabela kryesore.

ip -4 route add throw 192.168.8.0/24 table 200

Nëse e kaloni atë rrugë, ndarjet lokale prishen, dhe sesioni i menaxhimit të vetë ruterit mund të zhduket nëse përzgjedhësi është më i gjerë se sa synohej. Pastaj zgjidhni çështjen e burimit: paketat e tunelit që mbartin ende adresa LAN kanë nevojë që ana e largët të njohë një rrugë kthimi, ndërsa masquerading në tunel e heq atë kusht dhe heq edhe identitetin e klientit që ana e largët do të shihte.

Rregullat dhe rrugët e shtuara gjatë punës zhduken pas një rindezjeje ose përditësimi të firmuerit. Shtojini ato mekanizmit të nisjes së ruterit, rindizni një herë dhe testoni përsëri nga klienti: adresa e tij publike, një klient i dytë që duhet të mbetet në WAN dhe numëruesit e tunelit gjatë një lidhjeje të re.