OpenVPN orqali LAN'ga kirish buzildimi? Zonalar, marshrutlar va qaytish yo'lini tekshiring

Tunnel muvaffaqiyatli ulanish haqida xabar beradi, routerning o'z sahifasi yuklanadi, ammo uning orqasidagi mashinaga disk ulash hali ham vaqt tugashi bilan yakunlanadi. Bu birikmada qarama-qarshilik yo'q: router o'zi sifatida javob bermoqda, uning orqasidagi biror narsaga yetish esa boshqa joyda qabul qilingan boshqa qaror. Quyidagi tekshiruvlarni tartib bilan bajaring va birinchi muvaffaqiyatsizlikda to'xtang, chunki har biri oldingisiga tayanadi. To'rttasi ham o'tsa, nosozlik tunnel ichida emas, uning ustida.

LAN tomonga ketayotgan paketni qaysi filtr ko'radi

Routerga manzillangan paket mahalliy iste'mol qilinadi; uning orqasidagi xostga manzillangan paket yo'naltirilishi kerak va tarmoq to'siqlari bu ikki holatni alohida baholaydi. Demak, routerga yetish ruxsati undan o'tish ruxsati haqida hech narsa demaydi. O'z qoidalar to'plamini yashiruvchi mikrodastur baribir ikkalasini amalga oshiradi, odatda LAN, internet yoki ikkalasini taklif etuvchi tanlagich sifatida. Tanlagich LANni chetlab o'tsa, keyingi hech qanday tekshiruv muhim bo'lmaydi.

OpenWrt bu bo'linishni tekshirish mumkin qiladi va farq bir marta o'qishga arziydi. Tunnelni tugatuvchi zona LAN zonasiga yo'naltirilgan yo'naltirish qoidasini talab qiladi, kirish qoidasi esa faqat routerning o'zidagi xizmatlarni boshqaradi. Ishlayotgan boshqaruv sahifasi yonida o'lik LAN bo'lishi o'sha yetishmayotgan yo'naltirish qoidasining odatiy natijasi.

uci show firewall | grep -E "zone\[[0-9]+\]\.(name|input|forward|output)"

Tunnelni tashuvchi zonaning yo'naltirish maqsadiga qarang: accept — zinapoyaga kerak bo'lgan qiymat, reject esa quyidagi har bir vaqt tugashini tushuntiradi. Ikki qo'shni sozlama bir xil belgi beradi, shuning uchun shu yerda bo'lganingizda ularni chiqarib tashlang. Simsiz izolyatsiya simli xostlarni simsiz klientlardan yashiradi, bo'sh turgan LAN xostlarini oflayn deb hisoblaydigan router esa yo'naltirish ishlagandan keyin ham javoblarni tashlab yuborishi mumkin.

Nega bo'lingan tunnelga itarilgan prefiks kerak

Barcha trafikni tunnel orqali yuboradigan klient LAN prefiksini standart marshruti orqali allaqachon ushlab turadi, shuning uchun qo'shadigan narsa yo'q. Bo'lingan tunnel — prefiksni aniq ko'rsatish talab qilinadigan holat, chunki konfiguratsiyada boshqa hech narsa uni tilga olmaydi. Direktivni server konfiguratsiyasiga qo'shing va xizmatni qayta yuklang.

push "route 192.168.50.0 255.255.255.0"

Tarkibida route-nopull bo'lgan profillar itarilgan marshrutlarni e'tiborsiz qoldiradi, shuning uchun o'sha prefiks klient faylida bo'lishi kerak. Har holda yozuv kelganini tasdiqlang, taxmin qilmang, chunki jimgina almashtirish tarmoq to'sig'i muammosiga aynan o'xshaydi.

ip route show | grep 192.168.50

Sayt-sayt hamkori itarishdan ko'proq narsani so'raydi. Server o'sha hamkorning orqasida qaysi prefikslar borligini o'rganishi kerak, buni uning client-config-dir faylidagi iroute satri bajaradi, va uning o'z jadvaliga ham tunnelga kiradigan mos marshrut kerak.

Javobga yetib boradigan manzil kerak

So'rovni yo'naltirish almashinuvning yarmi xolos, chunki LAN xosti tunnel hovuzidagi manzilga javob berishi kerak. Kichik routerlar buni odatda manbani tunnel zonasida aylantirish orqali hal qiladi, shuning uchun javob routerga manzillanadi va boshqa joyda konfiguratsiya talab qilinmaydi. O'sha aylantirishni olib tashlasangiz, xostga hovuzga o'z marshruti kerak bo'ladi, uni router uning standart shlyuzi bo'lganda bepul oladi. Qo'lda qo'yilgan manzil va boshqa shlyuzga ega xost o'sha shlyuz orqali javob beradi, klient esa sessiya ochilib, keyin to'xtab qolganini ko'radi.

tcpdump -ni tun0 host 192.168.50.20

Klient so'rovini takrorlayotganda buni routerda ishga tushiring va so'rovning o'zini emas, javobning manzilini o'qing. Hovuzga manzillangan javob qaytish yo'li ishlayotganini va nosozlik chuqurroqda ekanini bildiradi. Javob umuman bo'lmasa, xost paketni hech qachon qabul qilmagan, bu sizni qoidalar to'plamiga qaytaradi.

To'g'ri joyda tugaydigan zinapoya

To'rt tekshiruv qatlamni aniqlaydi va har biri hukm emas, bitta buyruq. Ularni tartib bilan ishga tushiring va birinchi muvaffaqiyatsizlikda to'xtang. Tartib buyruqlardan muhimroq, chunki keyingi o'tgan qadam oldingisining nima uchun muvaffaqiyatsiz bo'lganini yashiradi.

ping -c1 10.8.0.1
ping -c1 192.168.50.20
nc -vz 192.168.50.20 445
getent hosts nas.local

Nomlar zinapoyaning oxiriga tegishli, hech qachon boshiga emas. 192.168.50.20 sifatida javob beradigan, ammo nas.local sifatida bermaydigan umumiy resurs nomlarni hal qilish yoki qidiruv qo'shimchasiga ishora qiladi va tarmoq to'sig'i tahrirlari ikkalasini ham o'zgartira olmaydi.

Birinchi muvaffaqiyatsiz qadamni yozib qo'ying, so'ng xizmat portlariga o'z davrasini bering, chunki tinglovchi va xost ruxsati alohida talablardir. Fayl almashish, masofaviy ish stoli va kamera oqimlari ikkalasini ham talab qiladi, LAN quyi tarmog'iga ishonadigan, ammo tunnel hovuziga ishonmaydigan xost tarmoq to'sig'i ping hali o'tayotganda klientni tashlab yuboradi. Barcha tekshiruvlar o'tib, dastur hali ishlamasa, nosozlik tunnel ustida: bitta interfeysga bog'langan xizmat yoki klientda sozlangan proksi.