LAN istemcileri politika yönlendirmesi açılana kadar yönlendirici VPN'ini yok sayar

Yönlendirici internete tüneli üzerinden çıkarken arkasındaki dizüstü bilgisayar hâlâ ISP adresini bildiriyor. Kabul kuralları eklemek işe yaramaz ve bu başarısızlık öğreticidir: filtreleme bir paketin geçip geçemeyeceğini yanıtlar, nereye gittiğini değil. Arayüz seçimi, istemci listeniz hakkında hiçbir şey bilmeyen bir yönlendirme araması tarafından zaten yapılmış. Aramayı düzeltin, güvenlik duvarı artık şüpheli değil.

Bir filtre kuralı arayüz seçemez

Linux yönlendiricide paket akışı önce yönlendirme kararını, sonra forward kancasını çalıştırır. Bir kural giden tünel aygıtıyla eşleştiğinde çekirdek tünelin çıkış yolu olduğuna çoktan karar vermiştir. Ana tablo hâlâ WAN varsayılan yolunu tercih ediyorsa paket ISP'ye doğru gider ve az önce yazdığınız kabul kuralı onu hiç görmez. Bu tek sıralama gerçeği, bir sayfa yeni güvenlik duvarı kuralının neden hiçbir şeyi değiştirmediğini açıklar.

Aşağıdaki örnek br-lan üzerinde 192.168.8.0/24 LAN'ı, tun0 tünel aygıtını ve tüneli kullanması gereken 192.168.8.23 adresindeki bir set üstü kutuyu kullanır.

Kuralları düzenlemeden önce aramayı okuyun

Çekirdekten o istemci adına bir yol çözmesini isteyin. Yanıt, giden aygıtı ve seçilecek kaynak adresi içerir; tanıyı doğrulamak için gereken tek şey budur. Yanıt WAN aygıtını adlandırıyorsa paketin kuralınıza ulaşma şansı hiç olmamıştır.

ip -4 route get 198.51.100.7 from 192.168.8.23

Olağan yolda kalması gereken bir istemci için sorguyu tekrarlayın. İki yanıt da aynı aygıtı adlandırdığında kaynağa göre bir politika henüz devrede değildir ve düzeltme filtrelemeye değil yönlendirmeye aittir.

Kapsamak istediğiniz istemcilere bir tablo bağlayın

Politika yönlendirmesi ana tablodan önce bir kural araması ekler. Varsayılan yolu tünel olan bir tablo oluşturun, sonra bu tabloyu bir seçiciye bağlayın: giriş arayüzü, kaynak adres veya güvenlik duvarı işareti. Öncelikler sırayı belirler ve ana tablo listede çok aşağıda, 32766'da durur, bu yüzden düşük numaralı kural önce danışılır. Arayüz seçicileri köprüdeki her istemciyi kapsar; adres seçicileri tek bir makineyi kapsar.

ip -4 route add default dev tun0 table 200
ip -4 rule add iif br-lan lookup 200 priority 200

Bellenim arayüzleri genellikle politika yönlendirmesi veya VPN politikası sayfasıyla aynı nesneleri gösterir. Oradaki aygıt listesini elle yazılmış kurallardan daha kolay bakımı yapılır ve kural sözdizimini değiştiren yükseltmelerden sonra genellikle ayakta kalır.

Seçiciyi bilerek seçin. Arayüz kuralı kısa ve geleceğe dayanıklıdır, ama o köprüye gelen yönlendiricinin kendi yönetim trafiğini de yakalar. Kaynak kuralı kesindir ve aygıt listesi her değiştiğinde düzenleme gerektirir. Seçimi yazın, çünkü bir aygıtın neden farklı davrandığını soracak bir sonraki kişiye bu gerekli olacak.

Yerel hedefleri tünelin dışında tutun

Yeni bir tablo yalnızca içine koyduğunuz yolları bilir. LAN öneki yoktur, bu yüzden yazıcı ve NAS trafiği tünelin varsayılan yolunu izler ve kaybolur. Throw yolu bu tablodaki aramayı bitirir ve kararı ana tabloya geri verir.

ip -4 route add throw 192.168.8.0/24 table 200

O yolu atlarsanız yerel paylaşımlar bozulur ve seçici amaçlanandan daha genişse yönlendiricinin kendi yönetim oturumu da kaybolabilir. Sonra kaynak sorununu çözün: hâlâ LAN adresleri taşıyan tünel paketlerinin uzak tarafın bir dönüş yolu bilmesine ihtiyacı vardır, tünelde masquerading ise bu koşulu kaldırır ve uzak tarafın göreceği istemci kimliğini de kaldırır.

Çalışma sırasında eklenen kurallar ve yollar yeniden başlatma veya bellenim güncellemesinden sonra kaybolur. Bunları yönlendiricinin başlatma mekanizmasına ekleyin, bir kez yeniden başlatın ve istemciden yeniden test edin: genel adresi, WAN'da kalması gereken ikinci istemci ve yeni bağlantı sırasında tünel sayaçları.