Yo'naltirilgan VPN mijozi serverga yetadi, lekin LAN xostlariga yetmaydi

Tunnel ko'tariladi, mijoz VPN serveriga ping yuboradi, bir qadam naridagi mashinadagi umumiy jild esa hech qachon javob bermaydi. Mijoz konfiguratsiyasida buni tushuntiruvchi hech narsa yo'q, chunki so'rov haqiqatan ham mijozdan chiqqan va haqiqatan ham yetib borgan. Muvaffaqiyatsiz bo'lgani qaytish yo'li, va muvaffaqiyatsiz bo'lgan qurilma odatda VPN xosti emas, LAN shlyuzi. Javob paketini kuzatish bu alomatlar sinfining barchasini tushuntiradi.

So'rovni emas, javobni kuzating

VPN serveri mijoz paketini shifrdan chiqaradi va mijoz manzili manba maydonida qolgan holda uni LANga uzatadi. Manzil xosti o'sha manzilga javob beradi, endi uning o'z marshrut jadvali hamma narsani hal qiladi. Uning standart shlyuzi tunnel hovuzi haqida hech narsa bilmaydi, shuning uchun javob internet provayderi tomon chiqadi va o'sha yo'lda qayerdadir tashlab yuboriladi.

Mijozda alomat jim kutish: rad yo'q, qayta o'rnatish yo'q, shunchaki hech narsa. Umumiy jildni ko'rish qotadi, ping javob yo'qligini xabar qiladi, server jurnallari esa sog'lom ko'rinadi, chunki server o'z ishini qildi.

Qaytish marshrutini xostlar qaraydigan joyga qo'ying

Har bir LAN xosti o'z standart shlyuzidan so'raydi, shuning uchun tunnel hovuzi qayerdaligini bilishi kerak bo'lgan yagona qurilma shlyuz. U yerga statik marshrut qo'shing va har bir xost tegmasdan to'g'ri yo'lni meros oladi.

Agar shlyuz o'z manzilini DHCP varianti sifatida tarqatsa, marshrutni shu tarzda tarqating, yangi mashinalar uni avtomatik oladi. Aks holda marshrut bitta konfiguratsiya faylida yashaydi va keyingi qayta qurishda yo'qoladi.

# on the LAN gateway; tunnel pool 172.20.5.0/24, VPN server 10.60.4.10
ip route add 172.20.5.0/24 via 10.60.4.10
ip route get 172.20.5.14

Nega manba NAT buni tuzatgandek ko'rinadi

Mijoz hovuzini VPN serveri manzili orqasiga maskalash muammoni paketdan mijoz manzilini olib tashlash bilan bartaraf etadi. Keyin javoblar tunnelga qanday yetishni allaqachon biladigan serverga qaytadi va hamma narsa ishlaydi. Narxi shundaki, ichki xostlar mijoz kimligini endi ko'ra olmaydi va har bir ulanish bitta mashinadan kelayotgandek ko'rinadi.

Bu almashinuv ba'zan to'g'ri, masalan, yetkazib beruvchi qurilmasiga statik marshrut berib bo'lmaganda. Qoidani joriy hovuzdan kengroq qilmang, chunki /24 uchun yozilgan qoida hovuz /16 ga qayta raqamlangan kuni mos kelishni to'xtatadi, va birinchi belgi ulanib, hech qayerga yetmaydigan yangi mijozlar guruhi.

iptables -t nat -A POSTROUTING -s 172.20.5.0/24 -o ens18 -j MASQUERADE
iptables -t nat -L POSTROUTING -n -v

Bulut yo'li uchta sozlamani talab qiladi

VPC ichida o'sha bo'shliq boshqa shaklda qaytadi, chunki quyi tarmoqda mijozlar diapazoni uchun umuman marshrut yo'q. Marshrut jadvaliga tunnel hovuzi uchun instansning tarmoq interfeysiga qaratilgan yozuv kerak, interfeysda esa manba va manzil tekshiruvi o'chirilgan bo'lishi kerak, shunda platforma manbasi o'z manzili bo'lmagan paketlarni qabul qiladi. Xavfsizlik guruhlari va tarmoq ACL ham hovuzni ikki yo'nalishda o'tkazishi kerak.

Har bir tushirib qoldirish alohida qisman nosozlik tug'diradi. Marshrut jadvalidagi yozuvni tashlab ketsangiz, xususiy instanslar javobni hovuzga qaytarib olib bora olmaydigan quyi tarmoqqa javob beradi. Tekshiruv yoniq turganda platforma javobni instans uni allaqachon yuborgandan keyin tashlaydi. Xavfsizlik guruhi qoidasisiz so'rovning o'zi hech qachon yetib bormaydi va mijoz kutishni bir qatlam oldin ko'radi.

Tekshiruvlarni shu tartibda bajaring

Marshrutlashni ayblashdan oldin uzatish va filtr siyosatini tasdiqlang, chunki uzatmaydigan xost ham xuddi shu jim tarzda ishdan chiqadi. So'ngra tunnelni olib yuruvchi interfeysda amaldagi teskari yo'l sozlamasini o'qing, chunki qattiq filtr kutilmagan tomondan keladigan javoblarni tashlashi mumkin.

Mijoz LAN xostiga ping yuborayotganda o'sha xostda olingan surat bilan yakunlang. Mos javobsiz kelgan so'rov qaytish yo'lini isbotlaydi, hech qachon kelmaydigan so'rov esa aybni serverga yoki tunnelga qaytaradi.

sysctl net.ipv4.ip_forward net.ipv4.conf.all.rp_filter
tcpdump -ni any host 172.20.5.14 and icmp

Manba va manzil tekshiruvi elastik tarmoq interfeysi qo'llanmasida yozilgan. Uni tunnel trafigini haqiqatan olib yuruvchi interfeysda sozlang, o'sha instansga ulangan aloqasiz adapterda emas.