ரூட் செய்யப்பட்ட VPN கிளையண்ட் சேவையகத்தை அடைகிறது ஆனால் LAN ஹோஸ்ட்களை அடையவில்லை

சுரங்கப்பாதை எழுகிறது, கிளையண்ட் VPN சேவையகத்திற்கு பிங் செய்கிறது, ஒரு அடி தொலைவில் உள்ள இயந்திரத்தின் பங்கிடப்பட்ட கோப்புறை ஒருபோதும் பதிலளிக்காது. கிளையண்ட் உள்ளமைவில் இதை விளக்குவது எதுவுமில்லை, ஏனெனில் கோரிக்கை கிளையண்டை விட்டு உண்மையில் சென்றது, உண்மையில் வந்தது. தோல்வியடைந்தது திரும்பும் பயணம், தோல்வியடைந்த சாதனம் பொதுவாக VPN ஹோஸ்ட் அல்ல, LAN கேட்வே. பதில் பாக்கெட்டைக் கண்டறிவது இந்த முழு அறிகுறி வகுப்பையும் விளக்குகிறது.

கோரிக்கையை அல்ல, பதிலைப் பின்தொடரவும்

VPN சேவையகம் கிளையண்ட் பாக்கெட்டை மறைகுறியாக்கி, மூல புலத்தில் கிளையண்டின் முகவரி இருக்கும்படியே LAN-க்கு அனுப்புகிறது. இலக்கு ஹோஸ்ட் அந்த முகவரிக்கு பதிலளிக்கிறது, இப்போது அதன் சொந்த ரூட்டிங் அட்டவணையே எல்லாவற்றையும் தீர்மானிக்கிறது. அதன் இயல்புநிலை கேட்வே சுரங்கப்பாதை குளம் பற்றி எதுவும் அறியாது, எனவே பதில் இணைய வழங்குநர் நோக்கிச் சென்று அந்தப் பாதையில் எங்கோ தூக்கி எறியப்படுகிறது.

கிளையண்ட்டில் அறிகுறி அமைதியான காலாவதி: மறுப்பு இல்லை, மீட்டமைப்பு இல்லை, எதுவும் இல்லை. பங்கிடப்பட்ட கோப்புறையை உலாவுவது தடைபடுகிறது, பிங் பதில் இல்லை என்று தெரிவிக்கிறது, சேவையக பதிவுகள் ஆரோக்கியமாகத் தெரிகின்றன, ஏனெனில் சேவையகம் தன் வேலையைச் செய்தது.

ஹோஸ்ட்கள் பார்க்கும் இடத்தில் திரும்பு வழியை வைக்கவும்

ஒவ்வொரு LAN ஹோஸ்ட்டும் தன் இயல்புநிலை கேட்வேயிடம் கேட்கிறது, எனவே சுரங்கப்பாதை குளம் எங்கே உள்ளது என்பதை அறிய வேண்டிய ஒரே சாதனம் கேட்வே. அங்கே ஒரு நிலையான வழியைச் சேர்க்கவும், ஒவ்வொரு ஹோஸ்ட்டும் தொடப்படாமல் சரியான பாதையைப் பெறும்.

கேட்வே தன் முகவரியை DHCP விருப்பமாக விநியோகித்தால், வழியையும் அதே முறையில் விநியோகிக்கவும், புதிய இயந்திரங்கள் தானாக எடுத்துக்கொள்ளும். இல்லையெனில் வழி ஒரு உள்ளமைவு கோப்பில் வாழ்கிறது, அடுத்த மறுகட்டமைப்பில் மறைந்துவிடும்.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

மூல NAT அதைச் சரிசெய்வது போல் தோன்றுவது ஏன்

கிளையண்ட் குளத்தை VPN சேவையகத்தின் முகவரிக்குப் பின்னால் மறைப்பது பாக்கெட்டிலிருந்து கிளையண்டின் முகவரியை நீக்கி சிக்கலை நீக்குகிறது. பின்னர் பதில்கள் சுரங்கப்பாதையை அடையும் வழி ஏற்கனவே தெரிந்த சேவையகத்திற்குத் திரும்புகின்றன, எல்லாம் வேலை செய்கிறது. விலை என்னவென்றால், உள் ஹோஸ்ட்கள் கிளையண்ட் யார் என்பதை இனி பார்க்க முடியாது, ஒவ்வொரு இணைப்பும் ஒரே இயந்திரத்திலிருந்து வருவது போல் தெரிகிறது.

அந்தப் பரிமாற்றம் சில நேரங்களில் சரியானது, உதாரணமாக விற்பனையாளர் சாதனத்திற்கு நிலையான வழியை வழங்க முடியாதபோது. விதியை தற்போதைய குளத்தை விட அகலமாக்க வேண்டாம், ஏனெனில் /24 க்கு எழுதப்பட்ட விதி குளம் /16 ஆக மறுஎண்ணிடப்படும் நாளில் பொருந்துவதை நிறுத்துகிறது, முதல் அறிகுறி இணைக்கப்பட்டு எதையும் அடையாத புதிய கிளையண்ட்களின் குழு.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

கிளவுட் பாதைக்கு மூன்று அமைப்புகள் தேவை

VPC-யில் அதே இடைவெளி வேறு வடிவில் திரும்புகிறது, ஏனெனில் துணைநெட்வொர்க்கிற்கு கிளையண்ட் வரம்புக்கு எந்த வழியும் இல்லை. ரூட் அட்டவணைக்கு சுரங்கப்பாதை குளத்திற்கான ஒரு உள்ளீடு தேவை, அது இன்ஸ்டன்ஸின் நெட்வொர்க் இடைமுகத்தை இலக்காகக் கொள்ளும், மேலும் இடைமுகத்தில் மூல மற்றும் இலக்கு சரிபார்ப்பு அணைக்கப்பட்டிருக்க வேண்டும், அப்போது தன் முகவரி அல்லாத மூலத்தைக் கொண்ட பாக்கெட்டுகளை தளம் ஏற்கும். பாதுகாப்புக் குழுக்களும் நெட்வொர்க் ACL-களும் குளத்தை இரு திசைகளிலும் அனுமதிக்க வேண்டும்.

ஒவ்வொரு விடுபடலும் வேறுபட்ட பகுதி தோல்வியை உருவாக்குகிறது. ரூட் அட்டவணை உள்ளீட்டை விடுங்கள், தனியார் இன்ஸ்டன்ஸ்கள் பதிலைக் குளத்திற்குத் திரும்பக் கொண்டு செல்ல முடியாத துணைநெட்வொர்க்கில் பதிலளிக்கும். சரிபார்ப்பு இன்னும் இயக்கத்தில் இருந்தால், இன்ஸ்டன்ஸ் ஏற்கனவே அனுப்பிய பிறகு தளம் பதிலைத் தூக்கி எறியும். பாதுகாப்புக் குழு விதி இல்லாமல் கோரிக்கையே ஒருபோதும் வராது, கிளையண்ட் காலாவதியை ஒரு அடுக்கு முன்னதாகக் காணும்.

சரிபார்ப்புகளை இந்த வரிசையில் இயக்கவும்

ரூட்டிங்கைக் குறை கூறும் முன் அனுப்புதல் மற்றும் வடிகட்டி கொள்கையை உறுதிப்படுத்தவும், ஏனெனில் அனுப்பாத ஹோஸ்ட்டும் அதே அமைதியான முறையில் தோல்வியடைகிறது. பின்னர் சுரங்கப்பாதையைக் கொண்டு செல்லும் இடைமுகத்தில் பயனுள்ள திருப்பு பாதை அமைப்பைப் படிக்கவும், ஏனெனில் கடுமையான வடிகட்டி எதிர்பாராத திசையிலிருந்து வரும் பதில்களைத் தூக்கி எறியலாம்.

கிளையண்ட் LAN ஹோஸ்ட்டிற்கு பிங் செய்யும்போது அங்கு எடுக்கப்பட்ட பிடிப்புடன் முடிக்கவும். பொருந்தும் பதில் இல்லாமல் வரும் கோரிக்கை திரும்பும் பாதையை நிரூபிக்கிறது, ஒருபோதும் வராத கோரிக்கை தவறை சேவையகம் அல்லது சுரங்கப்பாதைக்குத் திருப்புகிறது.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

மூல மற்றும் இலக்கு சரிபார்ப்பு மீள்தன்மை நெட்வொர்க் இடைமுக வழிகாட்டியில் ஆவணப்படுத்தப்பட்டுள்ளது. சுரங்கப்பாதை போக்குவரத்தை உண்மையில் கொண்டு செல்லும் இடைமுகத்தில் அதை அமைக்கவும், அதே இன்ஸ்டன்ஸுடன் இணைக்கப்பட்ட தொடர்பற்ற அடாப்டரில் அல்ல.