Hindi pinapansin ng mga kliyente ng LAN ang VPN ng router hanggang ma-activate ang policy routing

Nakarating ang router sa internet sa pamamagitan ng tunnel nito, habang ang laptop sa likod nito ay nag-uulat pa rin ng address ng ISP. Hindi nakakatulong ang pagdagdag ng mga patakaran sa pagtanggap, at may itinuturo ang kabiguan na ito: sinasagot ng pag-filter kung papayagan bang dumaan ang packet, hindi kung saan ito pupunta. Ang pagpili ng interface ay ginawa na ng paghahanap ng ruta na walang alam sa listahan ng kliyente mo. Ayusin ang paghahanap at hindi na ang firewall ang pinaghihinalaan.

Hindi makapipili ng interface ang panuntunan sa filter

Ang daloy ng packet sa isang Linux router ay unang nagpapatupad ng desisyon sa ruta at pagkatapos ang forward hook. Kapag tumugma ang isang patakaran sa papalabas na tunnel device, napagdesisyunan na ng kernel na ang tunnel ang daan palabas. Kung mas pinipili pa rin ng pangunahing talahanayan ang default na ruta ng WAN, patungo ang packet sa ISP at hindi kailanman nakikita ng patakarang pinapasok mo lang. Ang nag-iisang katotohanang ito tungkol sa pagkakasunod-sunod ang nagpapaliwanag kung bakit walang binabago ang isang pahina ng mga bagong patakaran ng firewall.

Ginagamit ng halimbawa sa ibaba ang LAN na 192.168.8.0/24 sa br-lan, isang tunnel device na tun0, at isang set-top box sa 192.168.8.23 na dapat gumamit ng tunnel.

Basahin ang paghahanap bago mag-edit ng mga patakaran

Hilingin sa kernel na lutasin ang isang ruta sa ngalan ng kliyenteng iyon. Kasama sa sagot ang papalabas na device at ang source address na pipiliin, at iyon lang ang kailangan mo para kumpirmahin ang diagnosis. Kung pinapangalanan ng sagot ang WAN device, wala talagang pagkakataon ang packet na makarating sa patakaran mo.

ip -4 route get 198.51.100.7 from 192.168.8.23

Ulitin ang query para sa kliyenteng dapat manatili sa karaniwang daan. Kapag pareho ang device na pinapangalanan ng dalawang sagot, wala pang patakarang batay sa source, at sa routing hindi sa filtering kabilang ang pagwawasto.

Ikonekta ang isang talahanayan sa mga kliyenteng gustong mong saklawin

Ang policy routing ay naglalagay ng paghahanap ng patakaran bago ang pangunahing talahanayan. Bumuo ng talahanayang ang default na ruta ay ang tunnel, pagkatapos ikonekta ang talahanayang iyon sa isang selector: input interface, source address, o firewall mark. Ang mga priyoridad ang nagtatakda ng pagkakasunod-sunod, at ang pangunahing talahanayan ay malayo sa ibaba ng listahan sa 32766, kaya ang patakarang mababa ang numero ang unang sinusuri. Sinasaklaw ng mga selector ng interface ang bawat kliyente sa bridge; sinasaklaw ng mga selector ng address ang isang makina.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Karaniwang ipinapakita ng mga interface ng firmware ang parehong mga bagay tulad ng pahina ng policy routing o patakaran ng VPN. Mas madaling panatilihin doon ang listahan ng device kaysa sa mga patakarang isinulat sa kamay at karaniwang tumatagal pagkatapos ng mga upgrade na nagbabago sa syntax ng mga patakaran.

Piliin ang selector nang sadya. Ang patakaran sa interface ay maikli at panghinaharap, pero nahuhuli rin nito ang sariling trapiko ng pamamahala ng router na dumarating sa bridge na iyon. Ang patakaran sa source ay eksakto at kailangang i-edit tuwing nagbabago ang listahan ng device. Isulat ang pinili, dahil kakailanganin ito ng susunod na taong magtatanong kung bakit iba ang kilos ng isang device.

Panatilihin ang mga lokal na destinasyon sa labas ng tunnel

Ang bagong talahanayan ay alam lamang ang mga rutang inilagay mo rito. Wala ang prefix ng LAN, kaya susundan ng trapiko ng printer at NAS ang default na ruta ng tunnel at mawawala. Ang rutang throw ay nagtatapos sa paghahanap sa talahanayang ito at ibinabalik ang desisyon sa pangunahing talahanayan.

ip -4 route add throw 192.168.8.0/24 table 200

Kung lalaktawan mo ang rutang iyon, masisira ang mga lokal na share, at maaaring mawala ang sesyon ng pamamahala ng router mismo kung mas malawak ang selector kaysa sa inaasahan. Pagkatapos, ayusin ang usapin ng source: ang mga packet ng tunnel na may dalang address ng LAN ay kailangang malaman ng kabilang dulo ang daan pabalik, samantalang inaalis ng masquerading sa tunnel ang pangangailangang iyon at inaalis din ang pagkakakilanlan ng kliyente na makikita ng kabilang dulo.

Ang mga patakaran at rutang idinagdag habang tumatakbo ay nawawala pagkatapos ng reboot o pag-update ng firmware. Idagdag ang mga ito sa mekanismo ng pagsisimula ng router, mag-reboot nang isang beses, at subukan muli mula sa kliyente: ang pampublikong address nito, isang pangalawang kliyenteng dapat manatili sa WAN, at ang mga counter ng tunnel habang bagong koneksyon.