Tuneli imeinuka, hakuna intaneti: upelekaji unaishia wapi

Mteja anajiunga, tuneli hubeba ping hadi lango, na hakuna kinachojibu ng'ambo yake. Hali hiyo ni ya kawaida kwa lango ambalo daima lilikusudiwa kutoa ufikiaji wa mitandao iliyolindwa pekee, na ni hitilafu kwa lango linalotangazwa kama njia ya kutoka ya tuneli kamili. Kabla ya kubadilisha sheria, thibitisha ni huduma gani iliyoahidiwa. Kisha fuatilia ombi moja la umma kupitia maeneo manne ambapo linaweza kusimama. Ombi moja na kunasa pakiti mara moja hutatua zaidi ya ukurasa wa makisio.

Thibitisha kama njia ya kutoka intaneti ilikuwa ndiyo mpango tangu mwanzo

Wasifu wa tuneli iliyogawanywa huelekeza kwenye VPN tu mitandao ndogo iliyolindwa, hivyo kuvinjari kwa umma kunaendelea kupitia kiungo cha ndani na hakuigusi lango kamwe. Wasifu wa tuneli kamili husakinisha njia chaguo-msingi ndani ya tuneli, jambo linalofanya lango liwe na jukumu la njia yote. Zote mbili ni miundo halali, na kuzichanganya huzalisha ripoti ya hitilafu mahali ambapo hakuna. Soma njia zinazotangazwa na mteja kabla ya kujaribu kitu kingine chochote, kwa sababu jedwali la njia hujibu swali ambalo tiketi mara nyingi huliweka vibaya.

Kile mteja anachosakinisha si kila mara kile wasifu unakusudia. Njia iliyosukumwa inaweza kuzidiwa na njia ya ndani yenye kipimo cha chini, na mteja anayebakiza njia yake ya LAN huku akiongeza njia chaguo-msingi hukaa kama tuneli iliyogawanywa kwa mtandao huo mdogo.

Fuatilia ombi moja la umma

Chagua lengwa moja na uifuatilie kutoka kwa mteja kuelekea nje. Kwenye mteja, angalia kama pakiti inachagua tuneli kweli na ni anwani gani ya ndani inayotumia kama chanzo. Kisha angalia lango: pakiti inafika, na inatoka kwenye kiolesura cha umma. Kila moja ya majibu hayo huondoa kundi zima la sababu.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Iwapo lango halioni pakiti kamwe, njia ya mteja au uchaguzi wa tuneli si sahihi. Iwapo inafika na haitoki, tatizo liko kwenye lango, na ukaguzi tatu uliobaki unatumika.

Angalia upelekaji, njia na tafsiri

Mwongozo wa upelekaji unaokuja na strongSwan unatumika kwa lango la aina yoyote ya tuneli: kiini lazima kiruhusiwe kuhamisha pakiti kati ya violesura, na njia inayoweza kutumika lazima ielekee intaneti. Sera ya ngome ya moto lazima kisha iruhusu trafiki, na anwani ya chanzo lazima iwe ile ambayo upande wa umma unaweza kuijibu. Anwani ya mteja ya kibinafsi inayopitishwa bila mabadiliko kwenda intaneti haipati jibu kamwe.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Tafsiri ya chanzo ndiyo kipande kinachokosekana kwa kawaida. Kwa hiyo lango huandika upya chanzo cha mteja kwa anwani yake ya umma na hufuatilia mtiririko; bila hiyo jibu halina mahali pa kwenda. Majukwaa ya wingu huongeza mpaka wa pili, ambapo jedwali la njia au kundi la usalama la instansi linaweza kutupa trafiki ambayo ngome ya moto ya mgeni inairuhusu. Mpaka huo ni rahisi kukosa kwa sababu mfumo wa mgeni unaonekana umesanidiwa vizuri kutoka ndani.

Uchujaji wa njia ya kurudi katika mpangilio usio sawa unaweza pia kutupa pakiti halali. Soma kihesabu cha sheria hiyo badala ya kudhani iko sawa, kwa sababu mpangilio mkali kwenye kiolesura cha umma hukataa trafiki inayofika kwa njia tofauti na ile ambayo jedwali la njia inatabiri.

Njia ya jibu na kitatuzi ni majibu mawili tofauti

Angalia pia jibu, si ombi pekee. Iwapo ombi linatoka likiwa limetafsiriwa na jibu linarudi kwenye mtiririko uliotafsiriwa, upelekaji hufanya kazi hata programu bado ikishindikana, na uchunguzi unaofuata ni wa programu au wa DNS.

Tovuti inayorudisha hitilafu ya HTTP ni uthibitisho kwamba upelekaji kwenda intaneti unafanya kazi. Jina lisilotatuliwa wakati ufikiaji kwa anwani unafanya kazi ni tatizo la kitatuzi, si tatizo la NAT.

Baada ya marekebisho madhubuti, jaribu tena mteja pamoja na rasilimali yoyote ya kibinafsi iliyozuiliwa kwa makusudi. Kutoa ufikiaji wa intaneti hakupaswi kupanua kwa utulivu ufikiaji wa kila mtandao uliounganishwa na lango.