LAN клијенти игноришу VPN рутера док се не укључи рутирање по правилима

Рутер долази на интернет кроз свој тунел, док лаптоп иза њега још увек пријављује адресу ISP-а. Додавање правила прихватања не помаже, а тај неуспех је поучан: филтрирање одговара сме ли пакет да прође, а не куда иде. Избор интерфејса већ је направило тражење руте које не зна ништа о вашој листи клијената. Поправите тражење и заштитни зид више није осумњичен.

Правило филтера не може да изабере интерфејс

Ток пакета на Linux рутеру прво извршава одлуку о рути, а затим forward куку. Када правило погоди излазни тунелски уређај, кернел је већ одлучио да је тунел излаз. Ако главна табела још увек преферира подразумевану руту кроз WAN, пакет је на путу ка ISP-у и правило прихватања које сте управо написали га никада не види. Та једна чињеница о редоследу објашњава зашто страница нових правила заштитног зида не мења ништа.

Пример испод користи LAN 192.168.8.0/24 на br-lan, тунелски уређај tun0 и један set-top box на 192.168.8.23 који треба да иде кроз тунел.

Прочитајте тражење пре уређивања правила

Замолите кернел да разреши руту у име тог клијента. Одговор укључује излазни уређај и изворну адресу која би била изабрана, а то је све што вам треба да потврдите дијагнозу. Ако одговор наводи WAN уређај, пакет никада није имао прилику да стигне до вашег правила.

ip -4 route get 198.51.100.7 from 192.168.8.23

Поновите упит за клијента који треба да остане на уобичајеном путу. Када оба одговора наводе исти уређај, политика по извору још није на снази, а поправка припада рутирању, а не филтрирању.

Причврстите табелу на клијенте које желите да покријете

Рутирање по правилима убацује тражење правила пре главне табеле. Направите табелу чија је подразумевана рута тунел, затим повежите ту табелу са селектором: улазни интерфејс, изворна адреса или ознака заштитног зида. Приоритети одређују редослед, а главна табела стоји далеко ниже на листи, на 32766, па се правило са малим бројем гледа прво. Селектори интерфејса покривају сваког клијента на мосту; селектори адресе покривају једну машину.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Интерфејси фирмвера обично приказују исте објекте као страница рутирања по правилима или VPN политике. Листа уређаја је тамо лакша за одржавање од ручно писаних правила и обично преживи надоградње које мењају синтаксу правила.

Изаберите селектор намерно. Правило интерфејса је кратко и отпорно на будућност, али хвата и сопствени управљачки саобраћај рутера који долази на тај мост. Правило извора је прецизно и тражи измену сваки пут када се листа уређаја промени. Запишите избор, јер ће га требати следећој особи која пита зашто се један уређај понаша другачије.

Држите локална одредишта изван тунела

Нова табела зна само руте које у њу ставите. LAN префикс недостаје, па би саобраћај штампача и NAS-а пратио подразумевану руту тунела и нестао. Throw рута завршава тражење у овој табели и враћа одлуку главној табели.

ip -4 route add throw 192.168.8.0/24 table 200

Прескочите ту руту и локална дељења се кваре, а сопствена управљачка сесија рутера може да нестане ако је селектор шири него што је замишљено. Затим решите питање извора: тунелски пакети који још носе LAN адресе треба да имају другу страну која зна повратни пут, док masquerading на тунелу уклања тај захтев и уклања и идентитет клијента који би друга страна видела.

Правила и руте додате током рада нестају после рестарта или надоградње фирмвера. Додајте их у механизам за покретање рутера, рестартујте једном и поново тестирајте са клијента: његову јавну адресу, други клијент који треба да остане на WAN-у и бројаче тунела током нове везе.