Wateja wa OpenVPN waliounganishwa kwa daraja hawana intaneti? Angalia kanuni ya NAT

Seva iliyounganishwa kwa daraja inafanya kazi, kanuni ya masquerade ipo, lakini kivinjari kwenye mteja bado kinazunguka. Kila kitu kinaonekana kama kinapaswa kufanya kazi, ndiyo sababu saa ya kwanza inatumika kukagua handaki na vitambulisho. Kisha unasoma kihesabu cha kanuni ya NAT na kupata sifuri ambayo haijasogea. Kanuni ambayo haijawahi kuhesabu pakiti hata moja haijawahi kuendana na moja, na kwenye seva iliyounganishwa kwa daraja sababu ni ya kimuundo: trafiki ya mteja hutoka kupitia kifaa pepe cha tap, wakati kanuni inataja kadi halisi uliyoinakili kutoka mwongozo wa zamani.

Uthibitisho ni kihesabu, si kumbukumbu ya jedwali

Kanuni zilizopo na kanuni zinazoendana ni vitu tofauti, na kihesabu ndicho kinachozitenganisha. Orodhesha jedwali la NAT kwa vihesabu vya kina na usome namba kando ya kila kanuni kabla ya kubadilisha chochote. Kihesabu kilichosimama sifuri wakati trafiki inapita kinamaanisha kanuni ilirukwa, hata anwani zake zionekane zinafaa kiasi gani. Kihesabu kinachopanda wakati muunganisho bado unashindikana kinakupeleka mahali pengine: kwenye upelekaji, njia ya kurudi, au mwisho wa mbali.

iptables -t nat -L POSTROUTING -v -n

Kwanza soma kihesabu kando ya ulinganifu wa kiolesura. Ikiwa masafa ya chanzo ni sahihi na upande wa kutoka si sahihi, marekebisho ni neno moja kwenye kanuni, si kanuni mpya kabisa.

Pata jina ambalo kerneli hurekodi kwa kweli

Tambua jina la kifaa cha handaki kabla ya kuandika kanuni, ukitumia orodha ya violesura badala ya kumbukumbu. Katika mpangilio wa OpenVPN uliounganishwa kwa daraja kifaa kawaida ni kiolesura cha tap kilichoundwa na seva, na jina lake ni sehemu ya usanidi wako wa ndani, si kigezo cha jumla. Thibitisha kuwa kipo wakati handaki inafanya kazi, kwa sababu kifaa kinachoonekana tu baada ya mteja kuunganishwa kitafanya jaribio la awali lionekane kama tatizo la kanuni.

ip -brief link

Andika jina. Kila amri ya baadaye katika uchunguzi huu inarejelea hilo, na kosa la kuandika hapa hutoa kihesabu sawa kabisa cha sifuri kama kosa la awali.

Andika upya kanuni kwa kifaa cha handaki

Elekeza kanuni kwenye kifaa cha handaki na uweke masafa ya wateja kama sharti la ulinganifu, ili ifunike trafiki ya handaki na iachie miunganisho ya mwenyeji yenyewe. Badilisha kwa masafa yako na jina la kifaa chako, kwa sababu zote mbili hapa chini ni mifano na hakuna inayohamishika kati ya usakinishaji.

iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o tap0 -j MASQUERADE

Kisha angalia masharti mengine mawili ambayo dalili hiyo hiyo inaficha. Angalia kama upelekaji umewashwa, na ikiwa haujawashwa, uwashe katika usanidi wa usambazaji wenyewe, si kwa echo inayotoweka baada ya kuwasha upya. Soma pia vihesabu vya mnyororo wa forward, na ikiwa unatupa trafiki ya handaki, ruhusu kiolesura hicho hasa na uache sera ya mnyororo bila kubadilishwa.

Kusoma mnyororo wa forward na vihesabu kunahitaji amri moja na kunaondoa nusu ya uwezekano uliobaki kabla ya kugusa kanuni nyingine.

Kwa nini kadi halisi hailingani kamwe

Daraja ni swichi ya programu iliyounganishwa kutoka kifaa cha tap na kiolesura kimoja halisi. Fremu ya mteja inaingia kwenye swichi hiyo na kutoka kuelekea mtandao halisi kama mwanachama wa daraja badala ya kama pakiti kwenye kadi. Kwa hiyo kerneli huhusisha pakiti na daraja na bandari yake, ndiyo sababu kadi uliyokuwa ukiifikiria haionekani kamwe kwenye ulinganifu. Hakuna kilichoharibika kwenye kiolesura halisi; si kifaa ambacho kerneli huhusisha pakiti hiyo nayo.

Tatizo la kufuatia ambalo watu hukutana nalo linatokana na muundo huo huo: uchujaji wa fremu kwenye daraja ni kitu tofauti na uchujaji wa IP. Ikiwa hitaji ni kizuizi cha ngazi ya fremu, ni sehemu ya uchujaji wa daraja, si kanuni ya jedwali la IP.

Thibitisha mwanzo hadi mwisho, kisha uifanye ya kudumu

Anzisha mteja mmoja na ping kitu kwenye LAN ya seva; njia hiyo hufanya mazoezi ya upelekaji bila tafsiri yoyote. Baada ya hapo omba kitu cha umma ili kanuni ya masquerade ilazimike kutumika, na usome kihesabu kwa mara nyingine: kinapaswa kusogea kwa jaribio hili na si la awali. Kikamatwa kilichochukuliwa kwenye kifaa cha handaki kinaonyesha wapi fremu inaonekana na inabeba anwani gani.

Hatua ya mwisho: weka kanuni zinazofanya kazi kwenye usanidi ambao kuwasha upya husoma, na uandike jina la kifaa ambacho daraja la mwenyeji huyu hutumia kwa kweli. Kila kitu kilichoandikwa kwa mkono hupotea baada ya kuwasha upya, na hitilafu hiyo hiyo inarudi bila kitu chochote cha kuieleza.

Ikiwa kihesabu bado hakisogei baada ya kuandika upya, linganisha masafa ya chanzo kwenye kanuni na anwani ambayo mteja alipokea kwa kweli, kwa sababu seva iliyounganishwa kwa daraja inaweza kutoa anwani kutoka masafa ambayo hukukusudia.