Wateja wa LAN hupuuza VPN ya kipanga-njia hadi uelekezaji wa sera uanzishwe

Kipanga-njia hufikia intaneti kupitia handaki yake, wakati kompyuta ya mkononi nyuma yake bado inaripoti anwani ya ISP. Kuongeza kanuni za kukubali hakusaidii, na kushindwa huku kunafundisha: uchujaji hujibu kama pakiti inaweza kupita, si inakokwenda. Uchaguzi wa kiolesura tayari umefanywa na utafutaji wa uelekezaji ambao haujui chochote kuhusu orodha yako ya wateja. Rekebisha utafutaji na firewall haitakuwa mshukiwa tena.

Kanuni ya kichujio haiwezi kuchagua kiolesura

Mtiririko wa pakiti kwenye kipanga-njia cha Linux hufanya uamuzi wa uelekezaji kwanza na ndoano ya forward baadaye. Kanuni inapolingana na kifaa cha handaki kinachotoka, kerneli tayari imeamua kuwa handaki ndiyo njia ya kutoka. Ikiwa jedwali kuu bado linapendelea njia ya msingi ya WAN, pakiti inaelekea ISP na kanuni ya kukubali uliyoandika sasa haioni kamwe. Ukweli huu mmoja wa mpangilio unaeleza kwa nini ukurasa wa kanuni mpya za firewall haubadilishi chochote.

Mfano hapa chini unatumia LAN ya 192.168.8.0/24 kwenye br-lan, kifaa cha handaki tun0, na kisanduku kimoja cha set-top kwenye 192.168.8.23 kinachopaswa kutumia handaki.

Soma utafutaji kabla ya kuhariri kanuni

Omba kerneli kutatua njia kwa niaba ya mteja huyo. Jibu linajumuisha kifaa kinachotoka na anwani ya chanzo ambayo ingechaguliwa, na hiyo ndiyo yote unayohitaji kuthibitisha utambuzi. Ikiwa jibu linataja kifaa cha WAN, pakiti haikuwa na nafasi ya kufikia kanuni yako.

ip -4 route get 198.51.100.7 from 192.168.8.23

Rudia swali kwa mteja anayepaswa kubaki kwenye njia ya kawaida. Majibu yote mawili yanapotaja kifaa kimoja, bado hakuna sera ya kwa-chanzo inayotumika, na marekebisho yanahusu uelekezaji badala ya uchujaji.

Unganisha jedwali na wateja unaotaka kufunika

Uelekezaji wa sera huingiza utafutaji wa kanuni kabla ya jedwali kuu. Tengeneza jedwali ambalo njia yake ya msingi ni handaki, kisha unganisha jedwali hilo na kichaguzi: kiolesura cha kuingiza, anwani ya chanzo au alama ya firewall. Vipaumbele huamua mpangilio, na jedwali kuu lipo chini sana kwenye orodha kwa 32766, kwa hiyo kanuni yenye namba ndogo hushauriwa kwanza. Vichaguzi vya kiolesura hufunika kila mteja kwenye daraja; vichaguzi vya anwani hufunika mashine moja.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Violesura vya firmware kawaida huonyesha vitu vile vile kama ukurasa wa uelekezaji wa sera au sera ya VPN. Orodha ya vifaa hapo ni rahisi kudumisha kuliko kanuni zilizoandikwa kwa mkono na kawaida hustahimili masasisho yanayobadilisha sintaksia ya kanuni.

Chagua kichaguzi kwa makusudi. Kanuni ya kiolesura ni fupi na inastahimili wakati ujao, lakini pia inakamata trafiki ya utawala ya kipanga-njia yenyewe inayofika kwenye daraja hilo. Kanuni ya chanzo ni sahihi na inahitaji uhariri kila orodha ya vifaa inapobadilika. Andika uchaguzi, kwa sababu mtu anayefuata kuuliza kwa nini kifaa kimoja hujiendesha tofauti atahitaji.

Weka malengo ya ndani nje ya handaki

Jedwali jipya hujua njia tu unazoweka ndani yake. Kiambishi cha LAN hakipo, kwa hiyo trafiki ya printa na NAS ingefuata njia ya msingi ya handaki na kutoweka. Njia ya throw humaliza utafutaji katika jedwali hili na kurudisha uamuzi kwa jedwali kuu.

ip -4 route add throw 192.168.8.0/24 table 200

Ukiruka njia hiyo, ushirikiano wa ndani huvunjika, na kipindi cha utawala cha kipanga-njia yenyewe kinaweza kutoweka ikiwa kichaguzi ni pana kuliko ilivyokusudiwa. Kisha suluhisha suala la chanzo: pakiti za handaki ambazo bado zina anwani za LAN zinahitaji upande wa mbali kujua njia ya kurudi, wakati masquerading kwenye handaki huondoa sharti hilo na pia huondoa utambulisho wa mteja ambao upande wa mbali ungeona.

Kanuni na njia zinazoongezwa wakati wa utekelezaji hutoweka baada ya kuwasha upya au sasisho la firmware. Ziongeze kwenye mfumo wa kuanzisha wa kipanga-njia, washa upya mara moja, na ujaribu tena kutoka kwa mteja: anwani yake ya umma, mteja wa pili anayepaswa kubaki kwenye WAN, na vihesabu vya handaki wakati wa muunganisho mpya.