Yönlendirilmiş VPN istemcisi sunucuya ulaşır ama LAN ana bilgisayarlarına ulaşmaz

Tünel açılır, istemci VPN sunucusuna ping atar ve bir atlama ötedeki makinede bulunan paylaşım hiç yanıt vermez. İstemci yapılandırmasında bunu açıklayan hiçbir şey yoktur, çünkü istek gerçekten istemciden çıkmış ve gerçekten varmıştır. Başarısız olan dönüş yolculuğudur ve başarısız olan cihaz genellikle VPN ana bilgisayarı değil LAN ağ geçididir. Yanıt paketini izlemek bu belirti sınıfının tamamını açıklar.

İsteği değil, yanıtı izleyin

VPN sunucusu istemci paketinin şifresini çözer ve istemcinin adresi kaynak alanında kalacak şekilde onu LAN'a iletir. Hedef ana bilgisayar bu adrese yanıt verir ve artık her şeye kendi yönlendirme tablosu karar verir. Varsayılan ağ geçidi tünel havuzu hakkında hiçbir şey bilmez, bu yüzden yanıt internet sağlayıcısına doğru çıkar ve o yolun bir yerinde atılır.

İstemcide belirti sessiz bir zaman aşımıdır: ret yok, sıfırlama yok, sadece hiçbir şey yok. Paylaşım taraması takılır, ping yanıt olmadığını bildirir ve sunucu günlükleri sağlıklı görünür çünkü sunucu işini yapmıştır.

Dönüş Yolunu Ana Bilgisayarların Baktığı Yere Koyun

Her LAN ana bilgisayarı kendi varsayılan ağ geçidine danışır, bu yüzden tünel havuzunun nerede olduğunu bilmesi gereken tek cihaz ağ geçididir. Oraya statik bir yol ekleyin ve her ana bilgisayar dokunulmadan doğru yolu devralır.

Ağ geçidi kendi adresini DHCP seçeneği olarak dağıtıyorsa, yolu da o şekilde dağıtın ki yeni makineler onu otomatik olarak alsın. Aksi halde yol tek bir yapılandırma dosyasında yaşar ve sonraki yeniden derlemede kaybolur.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Kaynak NAT Neden Düzeltiyor Gibi Görünür

İstemci havuzunu VPN sunucusunun adresinin arkasında maskelemek, istemcinin adresini paketten çıkararak sorunu ortadan kaldırır. Yanıtlar sonra tünele nasıl ulaşılacağını zaten bilen sunucuya döner ve her şey çalışır. Bedeli, iç ana bilgisayarların artık istemcinin kim olduğunu görememesi ve her bağlantının tek bir makineden geliyormuş gibi görünmesidir.

Bu değiş tokuş bazen doğrudur, örneğin bir satıcı cihazına statik yol verilemediğinde. Kuralı mevcut havuzdan daha geniş yapmayın, çünkü /24 için yazılmış bir kural, havuzun /16'ya yeniden numaralandırıldığı gün eşleşmeyi bırakır ve ilk işaret, bağlanıp hiçbir yere ulaşamayan yeni istemciler topluluğudur.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Bulut Yolu Üç Ayar Gerektirir

Bir VPC'de aynı boşluk başka bir biçimde geri döner, çünkü alt ağın istemci aralığı için hiçbir yolu yoktur. Yönlendirme tablosunun, tünel havuzu için örneğin ağ arayüzünü hedefleyen bir girdiye ihtiyacı vardır ve arayüzde kaynak ve hedef denetiminin kapalı olması gerekir ki platform, kaynağı kendi adresi olmayan paketleri kabul etsin. Güvenlik grupları ve ağ ACL'leri de havuzu her iki yönde geçirmelidir.

Her atlama farklı bir kısmi arıza üretir. Yönlendirme tablosundaki girdiyi atlarsanız özel örnekler, yanıtı havuza geri taşıyamayan bir alt ağa yanıt verir. Denetim açıkken platform, örnek yanıtı çoktan gönderdikten sonra onu atar. Güvenlik grubu kuralı olmadan isteğin kendisi hiç ulaşmaz ve istemci zaman aşımını bir katman daha erken görür.

Denetimleri Bu Sırayla Çalıştırın

Yönlendirmeyi suçlamadan önce iletmeyi ve filtre ilkesini doğrulayın, çünkü iletmeyecek bir ana bilgisayar da aynı sessiz biçimde başarısız olur. Ardından tüneli taşıyan arayüzde etkin ters yol ayarını okuyun, çünkü katı bir filtre beklenmedik bir yönden gelen yanıtları atabilir.

İstemci LAN ana bilgisayarına ping atarken o ana bilgisayarda alınan bir yakalama ile bitirin. Eşleşen yanıtı olmadan gelen istek dönüş yolunu kanıtlar, hiç gelmeyen istek ise suçu sunucuya veya tünele geri iter.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Kaynak ve hedef denetimi esnek ağ arayüzü kılavuzunda belgelenmiştir. Onu tünel trafiğini gerçekten taşıyan arayüzde ayarlayın, aynı örneğe bağlı ilgisiz bir bağdaştırıcıda değil.