Зашто сервер иза VPN клијента одговара кроз тунел

Долазне везе према хосту који такође покреће VPN клијент не успевају на врло специфичан начин: руковање стигне, демон одговори, а клијент не добије ништа назад. Ништа не блокира порт. Одговор је отишао кроз тунел, јер тунел поседује подразумевану руту и језгро усмерава одговоре према одредишту, а не према памћењу одакле је захтев дошао. Тај једини пропуст објашњава сваки следећи симптом.

Одговор се усмерава, не памти

VPN клијент који постави подразумевану руту додаје унос који надмашује LAN гејтвеј, било метриком било дељењем простора на две прецизније половине. Одлазни пакети сада бирају интерфејс тунела. Језгро никада не пита одакле је пакет који се одговара изворно стигао. Тај једини пропуст објашњава сваки следећи симптом.

Смер напред усмерава се према одредишту, као и обрнути смер. Одговор је адресиран на јавног клијента, којег ће тунел радо пренети. Други крај прими пакет чији извор не поседује, одбаци га, а оригинални клијент чека док не истекне време.

Строго филтрирање обрнутог пута може одбацити долазни пакет пре него што га демон уопште прочита. Прво проверите тај бројач, јер филтрирано одбацивање и грешка усмеравања споља изгледају идентично.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Прва наредба показује која подразумевана рута тренутно побеђује. Друга извештава примењује ли се строго филтрирање глобално или по интерфејсу, а трећа показује свако правило у ланцу прослеђивања које може бити укључено.

Три начина да задржите повратни пут

Искључивање одредишта услуге из тунела најужа је опција. Рута хоста усмерена на LAN гејтвеј, плус демон везан на физичку адресу уместо на сваку адресу, држи тај један ток изван тунела. Промена је локална и лако се поништава.

Рутирање по политици општи је одговор. Правило везано за адресу извора или за ознаку заштитног зида бира табелу чија подразумевана рута показује на WAN гејтвеј, док властите везе хоста настављају користити тунел. Држите приоритет експлицитним да правило касније не буде засењено.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Прве две наредбе граде алтернативни пут за одговоре с јавне адресе. Трећа пита језгро којим би путем ишао точно тај извор и одредиште, и тако потврђујете да правило има икакав учинак.

Превођење извора трећа је опција и једина која преживљава усмеравач који већ ради NAT испред услуге. Одговор се мора вратити том усмеравачу, а маскирање на WAN интерфејс то постиже скривајући клијента из записника услуге. Ручна замена подразумеване руте након повезивања дијагностика је, јер клијент преписује табелу при следећем поновном повезивању.

Када кутија усмерава и за LAN

Иста грешка појављује се један скок даље када хост усмерава за уређаје иза себе. Долазна веза прослеђује се унутрашњем уређају чији је једини повратни пут тунел, а одговор стиже спољном клијенту с адресе провајдера. Унутрашњи уређај све време ради исправно.

Праћење веза тада види одговор за ток који никада није забележило и одбацује га. Превођење одредишта доставља долазну везу уређају, а превођење извора чини да одговор изгледа као да долази од самог усмеравача.

Политичка рута која задржава прослеђени порт на WAN-у док властити саобраћај усмеравача користи тунел чистији је еквивалент. Без превођења извора одговор је адресиран на спољног клијента, а унутрашњи уређај уопште нема руту за ту адресу.

Три провере које раздвајају узроке

Спроведите три провере: везу у кутију с интернета, везу из ње према јавном хосту и тражење назива. Када се прве две разилазе, крив је повратни пут. Када називи не успеју у оба смера, разрешивач је друга грешка која само дели тунел.

Прво решите питање усмеравања, па погледајте називе. Мешање то двоје начин је да се исправан сервер окриви за покварен разрешивач.

Забележите који интерфејс изузетак именује и држите конфигурацију под контролом верзија. Правило написано према интерфејсу који се преименује након надоградње пролази данас и пада након следећег рестарта.