Kailangan ng VPN gateway ang IP forwarding: ano ang dapat suriin

Maaaring i-ping ng iyong client ang address ng gateway habang nananatiling hindi maabot ang lahat ng resource sa likod nito. Ang pares ng mga obserbasyong ito ay naglalarawan ng host na kausap ka at router na hindi nagru-route, na magkaibang papel sa iisang makina. Ang forwarding ang switch sa pagitan nila.

Malaya ang dalawang papel, gayundin ang dalawang pamilya ng address.

Walang pinatutunayan ang pagsagot sa sariling address

Kapag ang isang packet ay naka-address sa gateway mismo, kinokonsumo ito ng lokal na stack at walang desisyon sa forwarding na nangyayari. Kaya't ang matagumpay na ping sa address ng tunnel o sa isang management interface ay nagsasabi sa iyo na buhay ang daemon at nakataas ang tunnel, ngunit wala itong sinasabi tungkol sa traffic na patungo sa isang network sa likod ng kahon. Sinusuri lamang ng kernel ang daan ng forwarding nito para sa mga packet na hindi naka-address dito.

Basahin ang pangangailangan bilang papel, hindi bilang setting: kailangang ilipat ng host na ito ang mga packet sa pagitan ng dalawang interface. Ang laptop na kailangan lamang maabot ang isang remote network ay hindi kailanman tumatanggap ng papel na iyon, at ang site-to-site endpoint ay laging tumatanggap. Ang pagbasa sa pangangailangan nang gayon ay nagpapaliwanag kung bakit nabigo ang gumaganang client configuration kapag inilipat sa isang gateway.

Nalalapat ang parehong pangungusap sa firewall sa harap ng desisyon sa forwarding, na may sariling patakaran kung ano ang maaaring i-forward.

Suriin ang bawat pamilya ng address nang hiwalay

Ang IPv4 forwarding ay isang switch, at ang IPv6 forwarding ay iba na may sariling pag-uugali kada interface. Ang pagpapagana sa una ay walang sinasabi tungkol sa pangalawa, at ang dual-stack client ay maaaring maabot ang kalahati ng network habang nananatiling madilim ang natitira. Kaya't ang dalawang client mula sa magkaibang pamilya ay maaaring hindi magkasundo tungkol sa parehong gateway. Itanong kung aling pamilya ang ginamit ng nabigong client bago i-edit ang alinman sa mga setting. Kumpirmahin ang dalawa bago tapusin na mali ang disenyo ng routing.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Sa maraming distribution, ang value na binabasa mo sa runtime ay inilagay doon ng isang serbisyo o configuration file, kaya't ang pagbabagong ginawa gamit ang one-shot command ay maaaring mawala sa reboot. Hanapin ang file na nagmamay-ari ng setting bago i-edit ang runtime value.

Ang forwarding ay isa sa apat na pangangailangan

Ang gumaganang forwarded flow ay nangangailangan ng apat na bagay nang sabay: dapat alam ng client na nasa likod ng tunnel ang destinasyon, dapat may ruta pasulong ang gateway, dapat may daan pabalik ang mga sagot, at dapat payagan ng firewall ang traffic. Ang source translation ay bahagi ng disenyong iyon bilang opsyon at hindi bilang tuntunin, dahil ang pribadong routed network na may simetriko na mga daan ay hindi ito kailangan at ang asimetriko ay karaniwang kailangan. Bawat isa sa apat ay nabigo nang mag-isa, kaya't ang pag-aayos ng isa ay bihirang gumalaw ng sintomas. Isulat ang lahat ng apat bago baguhin ang alinman sa mga ito.

Nagdaragdag ng ikalimang pagsasaalang-alang ang mga cloud platform. Ang ilan ay nagpapatupad ng source at destination checks sa mga instance, na nagtatapon ng forwarded packets anuman ang naka-configure sa kernel ng guest. Ang dokumentasyon ng network ng platform mismo ang awtoridad doon, hindi ang output ng sysctl sa loob ng VM.

Subukan mula sa client, hindi mula sa gateway

Ang pagsubok na pinapatakbo sa sariling shell ng gateway ay hindi dumadaan sa alinmang bahagi ng daan ng forwarding na kabubukas mo lang. Gumawa ng traffic mula sa client na may problema, at kumpirmahin na naaabot nito ang isang bagay sa likod ng gateway kaysa sa gateway mismo. Iyon lang ang pagsubok na nagsasanay sa papel na binago mo.

Panatilihing hiwalay ang mga panuntunan ng listener at mga panuntunan ng forwarding sa isip mo at sa talaan ng pagbabago. Ang pagbubukas ng VPN port ay tumatanggap ng mga client sa serbisyo; wala itong ibinibigay sa kanila sa network sa likod nito, at magkamukha ang dalawa sa isang listahan ng firewall na lumaki sa loob ng maraming taon.

Kung dumarating ang mga packet at tinatanggihan ng serbisyo ang user, lumampas ka na sa networking. Magpatuloy sa authorization ng application sa halip na palawakin muli ang patakaran sa forwarding.