రూట్ చేసిన VPN క్లయింట్ సర్వర్కు చేరుతుంది కానీ LAN హోస్ట్లకు చేరదు

టన్నెల్ పైకి వస్తుంది, క్లయింట్ VPN సర్వర్కు పింగ్ చేస్తుంది, ఒక అడుగు దూరంలో ఉన్న మెషీన్లోని భాగస్వామ్య ఫోల్డర్ ఎప్పటికీ సమాధానం ఇవ్వదు. క్లయింట్ కాన్ఫిగరేషన్లో దీన్ని వివరించేది ఏమీ లేదు, ఎందుకంటే అభ్యర్థన నిజంగా క్లయింట్ నుండి బయలుదేరింది మరియు నిజంగా చేరింది. విఫలమైనది తిరిగి వెళ్లే ప్రయాణం, మరియు విఫలమైన పరికరం సాధారణంగా VPN హోస్ట్ కాదు, LAN గేట్వే. ప్రత్యుత్తర ప్యాకెట్ను ట్రేస్ చేయడం ఈ మొత్తం లక్షణ వర్గాన్ని వివరిస్తుంది.

అభ్యర్థనను కాదు, ప్రత్యుత్తరాన్ని అనుసరించండి

VPN సర్వర్ క్లయింట్ ప్యాకెట్ను డీక్రిప్ట్ చేసి, మూల ఫీల్డ్లో క్లయింట్ చిరునామా ఉన్నట్టుగానే LANకు ఫార్వర్డ్ చేస్తుంది. గమ్యస్థాన హోస్ట్ ఆ చిరునామాకు సమాధానం ఇస్తుంది, ఇప్పుడు దాని స్వంత రూటింగ్ పట్టికే అన్నింటినీ నిర్ణయిస్తుంది. దాని డిఫాల్ట్ గేట్వేకు టన్నెల్ పూల్ గురించి ఏమీ తెలియదు, కాబట్టి ప్రత్యుత్తరం ఇంటర్నెట్ ప్రదాత వైపు వెళ్లి ఆ మార్గంలో ఎక్కడో పారవేయబడుతుంది.

క్లయింట్లో లక్షణం నిశ్శబ్ద సమయ ముగింపు: తిరస్కరణ లేదు, రీసెట్ లేదు, ఏమీ లేదు. భాగస్వామ్య ఫోల్డర్ బ్రౌజ్ చేయడం నిలిచిపోతుంది, పింగ్ ప్రత్యుత్తరం లేదని నివేదిస్తుంది, సర్వర్ లాగ్లు ఆరోగ్యంగా కనిపిస్తాయి ఎందుకంటే సర్వర్ తన పని చేసింది.

హోస్ట్లు చూసే చోట రిటర్న్ రూట్ను ఉంచండి

ప్రతి LAN హోస్ట్ తన డిఫాల్ట్ గేట్వేను సంప్రదిస్తుంది, కాబట్టి టన్నెల్ పూల్ ఎక్కడ ఉందో తెలుసుకోవాల్సిన ఏకైక పరికరం గేట్వే. అక్కడ స్థిరమైన రూట్ను జోడించండి, ప్రతి హోస్ట్ తాకకుండానే సరైన మార్గాన్ని పొందుతుంది.

గేట్వే తన చిరునామాను DHCP ఎంపికగా పంపిణీ చేస్తే, రూట్ను అదే విధంగా పంపిణీ చేయండి, కొత్త మెషీన్లు దాన్ని స్వయంచాలకంగా తీసుకుంటాయి. లేకపోతే రూట్ ఒక కాన్ఫిగరేషన్ ఫైల్లో ఉంటుంది మరియు తదుపరి పునర్నిర్మాణంలో అదృశ్యమవుతుంది.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

మూల NAT దాన్ని సరిచేసినట్టు ఎందుకు కనిపిస్తుంది

క్లయింట్ పూల్ను VPN సర్వర్ చిరునామా వెనుక మాస్క్ చేయడం ప్యాకెట్ నుండి క్లయింట్ చిరునామాను తీసివేయడం ద్వారా సమస్యను తొలగిస్తుంది. అప్పుడు ప్రత్యుత్తరాలు టన్నెల్ను ఎలా చేరుకోవాలో ఇప్పటికే తెలిసిన సర్వర్కు తిరిగి వస్తాయి, అన్నీ పనిచేస్తాయి. ధర ఏమిటంటే, అంతర్గత హోస్ట్లు క్లయింట్ ఎవరో ఇక చూడలేరు, మరియు ప్రతి కనెక్షన్ ఒకే మెషీన్ నుండి వచ్చినట్టు కనిపిస్తుంది.

ఆ మార్పిడి కొన్నిసార్లు సరైనది, ఉదాహరణకు విక్రేత పరికరానికి స్థిరమైన రూట్ ఇవ్వలేనప్పుడు. నియమాన్ని ప్రస్తుత పూల్ కంటే విస్తృతం చేయవద్దు, ఎందుకంటే /24 కోసం రాసిన నియమం పూల్ /16కి పునఃసంఖ్యీకరించబడిన రోజు నుండి సరిపోలకుండా పోతుంది, మరియు మొదటి సంకేతం కనెక్ట్ అయ్యి ఏదీ చేరుకోని కొత్త క్లయింట్ల సమూహం.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

క్లౌడ్ మార్గానికి మూడు సెట్టింగ్లు అవసరం

VPCలో అదే ఖాళీ వేరే రూపంలో తిరిగి వస్తుంది, ఎందుకంటే సబ్నెట్కు క్లయింట్ పరిధికి ఎటువంటి రూట్ లేదు. రూట్ పట్టికకు టన్నెల్ పూల్ కోసం ఇన్స్టాన్స్ నెట్వర్క్ ఇంటర్ఫేస్ను లక్ష్యంగా చేసుకునే ఎంట్రీ అవసరం, మరియు ఇంటర్ఫేస్లో మూల మరియు గమ్యం తనిఖీ నిలిపివేయబడాలి, అప్పుడు తన చిరునామా కాని మూలాన్ని కలిగిన ప్యాకెట్లను ప్లాట్ఫారమ్ అంగీకరిస్తుంది. భద్రతా సమూహాలు మరియు నెట్వర్క్ ACLలు కూడా పూల్ను రెండు దిశల్లో అనుమతించాలి.

ప్రతి విడిచిపెట్టడం వేరే పాక్షిక వైఫల్యాన్ని సృష్టిస్తుంది. రూట్ పట్టిక ఎంట్రీని విడిచిపెడితే ప్రైవేట్ ఇన్స్టాన్స్లు ప్రత్యుత్తరాన్ని పూల్కు తిరిగి తీసుకెళ్లలేని సబ్నెట్కు సమాధానం ఇస్తాయి. తనిఖీ ఇంకా ఆన్లో ఉంటే, ఇన్స్టాన్స్ ఇప్పటికే పంపిన తర్వాత ప్లాట్ఫారమ్ ప్రత్యుత్తరాన్ని పారవేస్తుంది. భద్రతా సమూహ నియమం లేకుండా అభ్యర్థనే ఎప్పటికీ చేరదు, మరియు క్లయింట్ సమయ ముగింపును ఒక పొర ముందే చూస్తుంది.

తనిఖీలను ఈ క్రమంలో నిర్వహించండి

రూటింగ్ను నిందించే ముందు ఫార్వర్డింగ్ మరియు ఫిల్టర్ విధానాన్ని నిర్ధారించండి, ఎందుకంటే ఫార్వర్డ్ చేయని హోస్ట్ కూడా అదే నిశ్శబ్ద పద్ధతిలో విఫలమవుతుంది. తర్వాత టన్నెల్ను మోసే ఇంటర్ఫేస్పై ప్రభావవంతమైన రివర్స్-పాత్ సెట్టింగ్ను చదవండి, ఎందుకంటే కఠినమైన ఫిల్టర్ ఊహించని దిశ నుండి వచ్చే ప్రత్యుత్తరాలను పారవేయవచ్చు.

క్లయింట్ LAN హోస్ట్కు పింగ్ చేస్తున్నప్పుడు అక్కడ తీసుకున్న క్యాప్చర్తో ముగించండి. సరిపోలే ప్రత్యుత్తరం లేకుండా వచ్చే అభ్యర్థన తిరిగి వెళ్లే మార్గాన్ని నిరూపిస్తుంది, ఎప్పటికీ రాని అభ్యర్థన దోషాన్ని సర్వర్ లేదా టన్నెల్కు తిరిగి నెట్టేస్తుంది.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

మూల మరియు గమ్యం తనిఖీ ఎలాస్టిక్ నెట్వర్క్ ఇంటర్ఫేస్ గైడ్లో నమోదు చేయబడింది. టన్నెల్ ట్రాఫిక్ను నిజంగా మోసే ఇంటర్ఫేస్పై దాన్ని సెట్ చేయండి, అదే ఇన్స్టాన్స్కు జోడించిన సంబంధం లేని అడాప్టర్పై కాదు.