Mteja wa VPN aliyeelekezwa anafikia seva lakini si wenyeji wa LAN

Handaki linapanda, mteja anapiga ping kwa seva ya VPN, na sehemu ya pamoja kwenye mashine hatua moja mbali haijibu kamwe. Hakuna kitu katika usanidi wa mteja kinachoeleza hili, kwa sababu ombi liliondoka kwa mteja na lilifika. Kilichoshindikana ni safari ya kurudi, na kifaa kilichoshindikana kwa kawaida ni lango la LAN na si mwenyeji wa VPN. Kufuatilia pakiti ya jibu kunaeleza tabaka hili lote la dalili.

Fuata Jibu, Si Ombi

Seva ya VPN inafungua pakiti ya mteja na kuielekeza kwenye LAN huku anwani ya mteja ikiwa bado kwenye sehemu ya chanzo. Mwenyeji lengwa anajibu anwani hiyo, na sasa jedwali lake la njia linaamua kila kitu. Lango lake chaguo-msingi halijui chochote kuhusu dimbwi la handaki, kwa hiyo jibu linatoka kuelekea mtoa huduma wa intaneti na hutupwa mahali fulani kwenye njia hiyo.

Kwa mteja dalili ni muda wa kusubiri wa kimya: hakuna kukataa, hakuna kuweka upya, hakuna chochote. Kuvinjari sehemu ya pamoja kunakwama, ping inaripoti hakuna jibu, na kumbukumbu za seva zinaonekana nzuri kwa sababu seva ilifanya kazi yake.

Weka Njia ya Kurudi Mahali Wenyeji Wanaangalia

Kila mwenyeji wa LAN anashauriana na lango lake chaguo-msingi, kwa hiyo lango ndilo kifaa pekee kinachohitaji kujua dimbwi la handaki liko wapi. Ongeza njia tuli hapo na kila mwenyeji hurithi njia sahihi bila kuguswa.

Ikiwa lango linasambaza anwani yake kama chaguo la DHCP, sambaza njia kwa njia hiyo ili mashine mpya ziichukue kiotomatiki. Vinginevyo njia inaishi katika faili moja ya usanidi na hupotea kwenye ujenzi upya unaofuata.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Kwa Nini NAT ya Chanzo Inaonekana Kuirekebisha

Kufunika dimbwi la wateja nyuma ya anwani ya seva ya VPN kunaondoa tatizo kwa kuondoa anwani ya mteja kutoka kwenye pakiti. Majibu hurudi kwenye seva, ambayo tayari inajua jinsi ya kufikia handaki, na kila kitu kinafanya kazi. Gharama ni kwamba wenyeji wa ndani hawawezi tena kuona mteja ni nani, na kila muunganisho unaonekana kutoka kwenye mashine moja.

Ubadilishanaji huo wakati mwingine ni sahihi, kwa mfano wakati kifaa cha muuzaji hakiwezi kupewa njia tuli. Usifanye kanuni kuwa pana kuliko dimbwi la sasa, kwa sababu kanuni iliyoandikwa kwa /24 inaacha kutoshea siku dimbwi linapopewa namba upya kuwa /16, na ishara ya kwanza ni kundi la wateja wapya wanaounganishwa na wasifikie chochote.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Njia ya Wingu Inahitaji Mipangilio Mitatu

Katika VPC pengo lile lile hurudi kwa umbo lingine, kwa sababu subnet haina njia yoyote kwa masafa ya wateja. Jedwali la njia linahitaji kiingilio cha dimbwi la handaki kinacholenga kiolesura cha mtandao cha instance, na kiolesura lazima kiwe na ukaguzi wa chanzo na lengwa umezimwa ili jukwaa likubali pakiti ambazo chanzo chake si anwani yake mwenyewe. Vikundi vya usalama na ACL za mtandao pia lazima ziruhusu dimbwi kwa pande zote mbili.

Kila kuachwa kunaunda kushindwa kwa sehemu tofauti. Ruka kiingilio cha jedwali la njia na instance za kibinafsi zinajibu kwenye subnet isiyoweza kubeba jibu kurudi kwenye dimbwi. Ukaguzi ukiwa bado umewashwa, jukwaa linatupa jibu baada ya instance kuwa imetuma. Bila kanuni ya kikundi cha usalama ombi lenyewe halifiki kamwe, na mteja anaona muda wa kusubiri tabaka moja mapema.

Endesha Ukaguzi kwa Mpangilio Huu

Thibitisha upelekaji na sera ya uchujaji kabla ya kulaumu uelekezaji, kwa sababu mwenyeji asiyeelekeza hushindwa kwa namna ile ile ya kimya. Kisha soma mpangilio halisi wa njia ya kurudi kwenye kiolesura kinachobeba handaki, kwa kuwa kichujio kikali kinaweza kutupa majibu yanayokuja kutoka upande usiotarajiwa.

Maliza kwa kunasa kwenye mwenyeji wa LAN wakati mteja anapiga ping. Ombi linalofika bila jibu linalolingana linathibitisha njia ya kurudi, na ombi lisilofika kamwe linarejesha kosa kwa seva au handaki.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Ukaguzi wa chanzo na lengwa umeandikwa katika mwongozo wa kiolesura cha mtandao nyumbufu. Iweke kwenye kiolesura kinachobeba trafiki ya handaki kweli, si kwenye adapta isiyohusiana iliyounganishwa na instance hiyo hiyo.