Тунел ради, интернета нема: где се зауставља прослеђивање

Клијент се повезује, тунел преноси пинг до пролазног чвора, а ништа иза њега не одговара. То стање је нормално за пролазни чвор који је одувек требало да пружа само приступ заштићеним мрежама, а квар је за онај који се оглашава као излаз пуног тунела. Пре измене правила потврдите која је услуга обећана. Затим пратите један јавни захтев кроз четири места на којима се може зауставити. Један захтев и једно снимање пакета решавају више од странице нагађања.

Потврдите да ли је излаз на интернет икада био дизајн

Профил подељеног тунела усмерава само заштићене подмреже у VPN, па се јавно прегледање наставља преко локалне везе и никада не дотиче пролазни чвор. Профил пуног тунела инсталира подразумевану руту у тунел, што пролазни чвор чини одговорним за цео пут. Оба су легитимна дизајна, а њихово мешање ствара извештај о квару где га нема. Прочитајте руте које клијент оглашава пре било каквог другог тестирања, јер табела рута одговара на питање које захтев обично поставља погрешно.

Оно што клијент инсталира није увек оно што профил намерава. Гурнуту руту може надјачати локална рута с нижом метриком, а клијент који задржава LAN руту док додаје подразумевану руту понаша се као подељени тунел за ту подмрежу.

Пратите један јавни захтев

Изаберите једно одредиште и пратите га од клијента према вани. На клијенту проверите да ли пакет заиста бира тунел и коју локалну адресу користи као извор. Затим проверите пролазни чвор: долази ли пакет и напушта ли јавно сучеље. Сваки од тих одговора уклања целу категорију узрока.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Ако пролазни чвор никада не види пакет, рута клијента или избор тунела нису исправни. Ако стигне и не оде, проблем је на пролазном чвору, а примењују се преостале три провере.

Проверите прослеђивање, руту и превођење

Смернице за прослеђивање које долазе са strongSwan-ом важе за пролазни чвор било које врсте тунела: језгру мора бити дозвољено премештање пакета између сучеља, а употребљива рута мора показивати ка интернету. Правила заштитног зида затим морају дозволити саобраћај, а изворна адреса мора бити она на коју јавна страна може одговорити. Приватна адреса клијента прослеђена непромењена на интернет никада не добија одговор.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Превођење извора је уобичајени део који недостаје. С њим пролазни чвор преписује извор клијента на своју јавну адресу и прати ток; без њега одговор нема куда да оде. Cloud платформе додају другу границу, где табела рута или безбедносна група инстанце може одбацити саобраћај који заштитни зид госта дозвољава. Ту границу је лако пропустити јер систем госта изнутра изгледа исправно конфигурисан.

Филтрирање обрнутог пута у асиметричном поступку такође може одбацити ваљане пакете. Прочитајте бројач тог правила уместо да претпоставите да је у реду, јер строга поставка на јавном сучељу одбија саобраћај који долази другим путем од оног који табела рута предвиђа.

Пут повратка и резолвер су два различита одговора

Пазите и на одговор, не само на захтев. Ако захтев изађе преведен и одговор се врати у преведени ток, прослеђивање ради чак и кад апликација још не успева, а следећа истрага припада апликацији или DNS-у.

Страница која врати HTTP грешку доказ је да прослеђивање на интернет ради. Име које се не разрешава док приступ по адреси ради проблем је резолвера, а не NAT-а.

Након уске исправке поново тестирајте клијент и сваки намерно ограничени приватни ресурс. Давање приступа интернету не сме тихо проширити приступ на сваку мрежу повезану са пролазним чвором.