VPN ağ geçidi IP yönlendirmesi gerektirir: neler kontrol edilmeli

İstemciniz ağ geçidinin adresine ping atabilirken arkasındaki her kaynak erişilemez kalır. Bu iki gözlem, sizinle konuşan bir ana bilgisayarı ve yönlendirme yapmayan bir yönlendiriciyi tanımlar; bunlar aynı makinede farklı roller. İkisi arasındaki anahtar iletimdir.

İki rol bağımsızdır ve iki adres ailesi de öyledir.

Kendi adresine yanıt vermek hiçbir şeyi kanıtlamaz

Bir paket ağ geçidinin kendisine adreslendiğinde, yerel yığın onu tüketir ve hiçbir iletim kararı verilmez. Bu yüzden tünel adresine veya bir yönetim arayüzüne başarılı bir ping, arka plan sürecinin yaşadığını ve tünelin ayakta olduğunu söyler, ancak kutunun arkasındaki bir ağa giden trafik hakkında hiçbir şey söylemez. Çekirdek iletim yoluna yalnızca kendisine adreslenmeyen paketler için başvurur.

Gereksinimi ayar olarak değil rol olarak okuyun: bu ana bilgisayar paketleri iki arayüz arasında taşımalıdır. Yalnızca uzak bir ağa ulaşması gereken bir dizüstü bilgisayar bu rolü hiçbir zaman üstlenmez; site-site uç noktası ise her zaman üstlenir. Gereksinimi böyle okumak, çalışan bir istemci yapılandırmasının ağ geçidine taşındığında neden başarısız olduğunu açıklar.

Aynı cümle iletim kararının önündeki güvenlik duvarı için de geçerlidir; onun da neyin iletilebileceğine dair kendi politikası vardır.

Her adres ailesini ayrı ayrı kontrol edin

IPv4 iletimi bir anahtardır, IPv6 iletimi ise her arayüz için kendi davranışı olan başka bir anahtardır. Birincisini etkinleştirmek ikincisi hakkında hiçbir şey söylemez ve çift yığınlı bir istemci ağın yarısına ulaşabilirken geri kalanı karanlık kalır. Bu nedenle farklı ailelerden iki istemci aynı ağ geçidi konusunda anlaşamayabilir. Herhangi bir ayarı düzenlemeden önce başarısız istemcinin hangi aileyi kullandığını sorun. Yönlendirme tasarımının yanlış olduğu sonucuna varmadan önce ikisini de doğrulayın.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Birçok dağıtımda çalışma zamanında okuduğunuz değeri oraya bir hizmet veya yapılandırma dosyası koymuştur; bu yüzden tek seferlik bir komutla yapılan değişiklik yeniden başlatmada kaybolabilir. Çalışma zamanı değerini düzenlemeden önce ayarın sahibi olan dosyayı bulun.

İletim dört gereksinimden biridir

Çalışan bir iletilen akış aynı anda dört şey gerektirir: istemci hedefin tünelin arkasında olduğunu bilmelidir, ağ geçidinin ileriye bir rotası olmalıdır, yanıtların geri dönüş yolu olmalıdır ve güvenlik duvarı trafiğe izin vermelidir. Kaynak çevirisi bu tasarıma kural olarak değil seçenek olarak aittir; çünkü simetrik yollara sahip özel yönlendirilmiş bir ağ ona ihtiyaç duymaz, asimetrik ağ ise genellikle duyar. Dördünün her biri bağımsız olarak başarısız olur, bu yüzden birini onarmak belirtiyi nadiren kaydırır. Herhangi birini değiştirmeden önce dördünü de yazın.

Bulut platformları beşinci bir husus ekler. Bazıları örneklerde kaynak ve hedef denetimlerini zorunlu kılar; bu, konuk çekirdeği nasıl yapılandırılmış olursa olsun iletilen paketleri düşürür. Oradaki yetkili, platformun kendi ağ belgeleridir, VM içindeki sysctl çıktısı değil.

Ağ geçidinden değil, istemciden test edin

Ağ geçidinin kendi kabuğunda çalıştırılan bir test, az önce etkinleştirdiğiniz iletim yolunun hiçbir bölümünden geçmez. Trafiği sorun yaşayan istemciden üretin ve ağ geçidinin kendisine değil, ağ geçidinin arkasındaki bir şeye ulaştığını doğrulayın. Değiştirdiğiniz rolü uygulayan tek test budur.

Dinleyici kurallarını ve iletim kurallarını hem kafanızda hem de değişiklik kaydında ayrı tutun. VPN bağlantı noktasını açmak istemcileri hizmete alır; arkasındaki ağda onlara hiçbir şey vermez ve yıllar içinde büyümüş bir güvenlik duvarı listesinde ikisi aynı görünür.

Paketler gelip hizmet kullanıcıyı reddederse, ağ katmanını aşmışsınızdır. İletim politikasını yeniden genişletmek yerine uygulama yetkilendirmesiyle devam edin.