Kufungua lango la VPN hakuwawezeshi wateja kufikia LAN

Handaki linapanda, mteja anathibitisha, lakini LAN iliyo nyuma ya lango inabaki isionekane. Kanuni iliyopaswa kurekebisha hili huruhusu lango la VPN na hufanya kazi kama ilivyoandikwa, kwa sababu kanuni hiyo inadhibiti pakiti zinazoelekezwa kwa lango lenyewe. Trafiki ya mteja kwa mwenyeji aliye nyuma ya lango ina lengo lingine na mnyororo mwingine. Kuingia kwa mafanikio hakubadilishi ni mnyororo upi kati ya hiyo miwili ambao kernel huangalia.

Minyororo miwili, malengo mawili tofauti

Hatima ya pakiti huamuliwa na inakokwenda, wala si jinsi ilivyofika. Trafiki inayoelekezwa kwa anwani iliyo kwenye lango huwasilishwa ndani ya nchi na hupimwa kwa kanuni za kuingia. Trafiki ambayo lango huisambaza mbele hupimwa kwa kanuni za uhamishaji. Kiolesura kimoja cha handaki kinaweza kutoa aina zote mbili za pakiti, kwa hiyo kanuni moja haiwezi kufunika kazi zote mbili.

Hadithi yote katika sentensi moja: kumruhusu msikilizaji haisemi chochote kuhusu kuruhusu mtandao ulio nyuma yake. Hizi ni maamuzi mawili tofauti yenye ushahidi tofauti, na jina la kiolesura kwa yote mawili haliyaunganishi.

Kanuni ya msikilizaji huruhusu nini kwa kweli

Pakiti za msikilizaji huishia katika mchakato wa VPN, na hilo ndilo huwezesha handaki kujengwa kabisa. Ukurasa wa usimamizi wa lango na jibu la uchunguzi wa ndani pia hutumia njia ya kuingia ya mwenyeji mwenyewe, kwa hiyo jaribio kwa lango hufaulu huku kila kitu kilicho nyuma yake kikishindikana. Matokeo yote mawili ni sahihi na hakuna linalohusu LAN.

Mchakato unapofungua kifuniko cha trafiki ya mteja kwa lengo lingine, pakiti huingia kwenye njia ya uhamishaji na hapo inahitaji ruhusa. Uthibitisho uliofaulu huamua mteja ni nani; hauamui anakoweza kwenda. Maswali mawili yana wamiliki, kumbukumbu na ujumbe wa hitilafu tofauti.

Jaribu kutoka kwa mteja, kamwe usijaribu kutoka kwa lango

Jaribio linalofanywa kwenye lango hufuata njia ya kutoka ya mwenyeji mwenyewe na linaweza kufaulu hata njia ya uhamishaji ikiwa imefungwa. Anza jaribio kutoka kwa mteja na uangalie ncha zote mbili za mtiririko.

nc -vz 10.40.7.25 445
tcpdump -ni tun0 host 10.40.7.25

Kama ombi linaonekana kwenye tun0 na hakuna kinachofika lengoni, pakiti hutupwa baada ya kuwasili, jambo linaloonyesha kanuni za uhamishaji au uchujaji wa lengo lenyewe. Kama hakuna kinachoonekana kwenye tun0 kabisa, mteja hailaituma hata kwenye handaki, na tatizo ni uelekezaji kwa mteja wala si sera ya lango. Linganisha na ombi linalotoka vizuri na halirudishi chochote, ambalo ni kisa cha njia ya kurudi.

Uhamishaji unahitaji vitu vitatu, wala si kimoja

Uhamishaji ndani ya kernel lazima uwe umewekwa, kanuni ya kichujio lazima ikubali mtiririko, na lengo lazima lifikiwe likiwa na njia ya jibu kurudi. Kama kimoja kati ya vitatu hakipo, ukimya ni uleule kwa mtazamo wa mteja.

sysctl net.ipv4.ip_forward
sudo iptables -S FORWARD
sudo iptables -S INPUT

Soma matokeo matatu pamoja. Sufuri katika la kwanza hufanya mengine mawili yasiwe na maana, na sera ya kutupa ya chaguo-msingi katika la pili hutupa pakiti za mteja huku trafiki ya lango yenyewe ikiendelea kufanya kazi. Tokeo la tatu linaonyesha kwa nini kanuni ya msikilizaji haikuwa tatizo kamwe.

Tenganisha seti mbili za kanuni katika nyaraka

Andika kanuni ya msikilizaji na kanuni ya huduma inayohamishwa kwenye mistari tofauti, na wamiliki na sababu tofauti. Lango la VPN linapobadilika au huduma mpya inapotangazwa, utenganishaji huo huzuia mabadiliko moja kupanua lingine kimya kimya.

Badala ya kuchukua kila mshirika aliyethibitishwa kama mwanachama wa LAN anayeaminika, tumia kanuni nyembamba kwa safu za wateja na huduma zinazozihitaji. Maelezo kuhusu uhamishaji ya StrongSwan yanaeleza upande wa njia ya kurudi na tafsiri wa mpaka huo huo, ambayo ni uamuzi wa tatu tena.

Hatimaye, weka tabaka moja kwa moja mtumiaji anapokataliwa. Kama ombi linafika kwa mwenyeji na programu inakataa akaunti, rekebisha ruhusa ya programu katika tabaka hilo; kupanua uhamishaji hakuwezi kutoa vitambulisho vya kushiriki faili na kutapanua ufikiaji kwa wengine wote wanaounganisha kwa mafanikio.