Приступ LAN-у преко OpenVPN-а не ради? Проверите зоне, руте и повратни пут

Тунел пријављује успешну везу, сопствена страница рутера се учитава, а мапирање диска на машину иза њега и даље истиче. Ништа у тој комбинацији није противречно: рутер одговара као он сам, а достизање било чега иза њега друга је одлука донета на другом месту. Прођите провере испод редом и станите на првом неуспеху, јер се свака ослања на претходну. Када све четири прођу, квар је изнад тунела, а не у њему.

Који филтер види пакет намењен LAN-у

Пакет адресиран на рутер троши се локално; пакет адресиран на хост иза њега мора се проследити, а заштитни зидови те две ситуације суде одвојено. Дозвола да достигнете рутер стога не говори ништа о дозволи да га пређете. Фирмвер који скрива своје скупове правила ипак спроводи оба, обично као бирач који нуди LAN, интернет или обоје. Ако бирач изостави LAN, ниједна каснија провера неће бити важна.

OpenWrt ту поделу чини прегледном и разлику вреди прочитати једном. Зона која завршава тунел треба правило прослеђивања према LAN зони, док улазно правило уређује само услуге на самом рутеру. Исправна административна страница уз мртав LAN уобичајен је резултат тог недостајућег правила прослеђивања.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Погледајте одредиште прослеђивања зоне која носи тунел: accept је оно што лествица треба, а reject објашњава сваки истек испод. Две суседне поставке дају исти симптом, па их искључите док сте овде. Бежична изолација скрива жичане хостове од бежичних клијената, а рутер који неактивне LAN хостове сматра ван мреже може одбацити одговоре и након што прослеђивање проради.

Зашто подељени тунел треба гурнути префикс

Клијент који сав саобраћај шаље кроз тунел већ има LAN префикс кроз своју подразумевану руту, па нема шта да се дода. Подељени тунел је случај који захтева изричито навођење префикса, јер га ништа друго у конфигурацији не помиње. Додајте директиву у конфигурацију сервера и поново учитајте услугу.

push "route 192.168.50.0 255.255.255.0"

Профили који садрже route-nopull занемарују гурнуте руте, па исти префикс припада датотеци клијента. У сваком случају потврдите да је унос стигао уместо да то претпоставите, јер тиха замена изгледа исто као проблем са заштитним зидом.

ip route show | grep 192.168.50

Партнер од локације до локације тражи више од гурања. Сервер мора да научи који префикси стоје иза тог партнера, што чини ред iroute у његовој датотеци client-config-dir, а његова сопствена табела треба одговарајућу руту у тунел.

Одговор треба адресу коју може да достигне

Прослеђивање захтева само је пола размене, јер LAN хост мора да одговори на адресу из скупа тунела. Мали рутери то обично решавају превођењем извора на зони тунела, па је одговор адресиран на рутер и не треба конфигурацију другде. Уклоните то превођење и хосту треба сопствена рута до скупа, коју добија бесплатно када је рутер његов подразумевани пролаз. Хост са ручно постављеном адресом и другим пролазом одговара кроз тај пролаз, а клијент гледа како се сесија отвара и затим застаје.

tcpdump -ni tun0 host 192.168.50.20

Покрените то на рутеру док клијент понавља захтев и читајте одредиште одговора, а не сам захтев. Одговор адресиран на скуп значи да повратни пут ради и да је квар дубље. Потпуно одсуство одговора значи да хост никада није прихватио пакет, што вас враћа на скуп правила.

Лествица која завршава на правом месту

Четири провере лоцирају слој и свака је једна наредба, а не процена. Покрените их редом и станите на првом неуспеху. Редослед је важнији од наредби, јер успешан каснији корак скрива разлог неуспеха ранијег.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Имена припадају крају лествице, никада почетку. Дељење које одговара као 192.168.50.20 али не као nas.local упућује на разрешавање имена или на суфикс претраге, а измене заштитног зида не могу променити ни једно.

Забележите први неуспели корак, затим дајте портовима услуга засебан пролаз, јер су слушалац и дозвола хоста одвојени услови. Дељење датотека, удаљена радна површина и преноси са камера требају обоје, а заштитни зид хоста који верује LAN подмрежи али не скупу тунела одбацује клијента док ping још пролази. Када све провере прођу, а апликација и даље не ради, квар је изнад тунела: услуга везана за једно сучеље или прокси конфигурисан на клијенту.