Gumagana ang VPN sa router, ngunit walang internet ang mga kliyente sa LAN

Sinasabi ng status na nakataas ang tunnel, may naglo-load na browser sa router mismo, at bawat device sa likod nito ay nag-ti-time out pa rin. Ang kombinasyong iyon ay nagpapaliit ng problema sa isang layer na hindi binabanggit ng karamihan ng gabay sa VPN: ang router ay hindi lamang ang host na kailangang makalampas ng tunnel ang mga packet. Magkaibang landas ang dinadaanan ng trapikong nalilikha sa lokal at ng trapikong ipinapasa sa parehong kahon. Subukan mula sa isang kliyente at hindi na teoretikal ang pagkakaiba.

Basahin ang kabiguan mula sa isang host ng LAN

Magsimula sa device na nabibigo, dahil ibang tanong ang sinasagot ng dayagnostikong ginagawa sa router. Tiyakin na ang default gateway ng kliyente ay ang router na ito, itala ang source address at subnet nito, at pagkatapos ay tingnan kung ano ang lumalabas sa tunnel interface ng router.

Kung isinasalin ang address ng kliyente, nakikita ng malayong panig ang address ng tunnel, at mukhang maayos ang lahat mula roon habang nabibigo pa rin ang kliyente. Kung hindi isinasalin, kailangang malaman ng malayong panig ang ruta pabalik sa subnet ng kliyente, at maraming gateway ang walang ganoong ruta bilang default. Alinman sa dalawa, walang kaugnayan ang tagumpay ng router mismo, dahil ang mga packet nito ay nalikha sa lokal at hindi kailanman dumaan sa landas ng forwarding.

Magkaiba ang lokal at ipinapasang trapiko

Itinuturing ng Linux at karamihan ng firmware ng router ang mga packet na nagmumula sa kahon nang iba kaysa sa mga packet na dumadaan dito. Nakikita ng output chain ang unang uri, nakikita ng forward chain ang pangalawa, at ang patakarang iniayon sa trapiko ng router mismo ay maaaring iwanang hindi ginalaw ang forwarding.

sysctl net.ipv4.ip_forward
ip -4 address show br-lan
ip route get 203.0.113.9
nft list ruleset | grep -A 6 'chain forward'

Suriin kung naka-enable man lang ang forwarding, pagkatapos ay basahin ang forward chain sa halip na output chain. Ang panuntunang nagpapahintulot sa naka-encrypt na panlabas na koneksyon ay hindi panuntunang nagpapahintulot sa mga na-decrypt na packet na maipasa, at ang pagkalito sa dalawa ay gumagawa ng eksaktong sintomas na ito. Ang nakaangat na tunnel ay nagpapatunay lamang sa una.

Kailangan ding umiral ang ruta ng pagbabalik

Ang pagsasalin ng source ang nagpapasya kung kailangan ang ruta ng pagbabalik. Kapag may masquerading sa tunnel interface, bumabalik ang mga sagot sa address ng tunnel at isinasalin itong muli ng router. Kung wala ito, kailangan ng malayong gateway ng tahasang ruta patungo sa subnet ng kliyente, at dapat pahintulutan ng sarili nitong patakaran ang direksyong iyon.

Itala kung alin sa dalawang disenyo ang ginagamit ng deployment bago baguhin ang anuman, dahil magkasalungat ang direksyon ng mga pag-aayos. Ang pagdaragdag ng pagsasalin ay nagtatago ng kulang na ruta ng pagbabalik at sumisira sa mga aplikasyong nangangailangan ng orihinal na source address. Ang pagdaragdag ng ruta ng pagbabalik na walang pagsasalin ay tahimik na nabibigo kapag itinapon ng malayong firewall ang hindi kilalang source. Pumili ng isa, idokumento ito, at itugma ang kabilang panig.

Kasama sa parehong pagsusuri ang DNS ng kliyente. Maaaring sumagot ang resolver ng router habang ang kliyenteng nakaturo sa ibang server ay walang nakukuha.

I-verify ang isang pinapayagang daloy at isang tinatanggihang daloy

Pagkatapos ng pagwawasto, subukan ang bagong koneksyon mula sa kliyente sa halip na umiiral na session ng router. Pagkatapos ay tiyakin na ang segment na hindi dapat gumamit ng tunnel ay hindi pa rin gumagamit nito.

curl -sS --max-time 8 https://api.ipify.org
ip route get 203.0.113.9
dig +short intranet.example.net

Suriin ang naobserbahang source address sa malayong dulo, dahil sinasabi nito kung aling disenyo ang talagang tumatakbo. I-verify ang paghahanap ng pangalan at ang address, dahil ang pag-uugali ng resolver ay hiwalay na landas sa parehong kahon.

Panatilihing saklaw ng mga panuntunan ang mga network ng kliyente na nangangailangan ng tunnel, at labanan ang tuksong patayin ang filter ng forwarding para makapasa ang isang test. Inaayos ng pagbabagong iyon ang test at tinatanggal ang hangganang dapat ibigay ng tunnel. Isulat ang source address, ang desisyon sa pagsasalin at ang ruta ng pagbabalik sa isang tala, may petsa.