Routerdagi VPN ishlaydi, lekin LAN mijozlarida internet yo'q

Holat tunnel ishlayotganini aytadi, routerning o'zidagi brauzer sahifalarni yuklaydi, lekin uning orqasidagi har bir qurilma baribir vaqt tugashiga uchraydi. Bu birikma muammoni ko'plab VPN qo'llanmalari hech qachon tilga olmaydigan qatlamgacha toraytiradi: tunnel orqali o'tishi kerak bo'lgan paketlari bo'lgan yagona xost router emas. Mahalliy hosil bo'lgan trafik va yo'naltirilgan trafik bir xil quti ichida turli yo'llardan boradi. Mijozdan sinab ko'ring, farq nazariy bo'lishdan to'xtaydi.

Xatoni LAN xostidan o'qing

Ishlamayotgan qurilmadan boshlang, chunki routerda o'tkazilgan diagnostika boshqa savolga javob beradi. Mijozning standart shlyuzi shu router ekanligini tasdiqlang, uning manba manzili va quyi tarmog'ini yozib oling, so'ng routerning tunnel interfeysidan nima chiqishini ko'ring.

Agar mijoz manzili tarjima qilinsa, uzoq tomon tunnel manzilini ko'radi va u yerdan hamma narsa sog'lom ko'rinadi, mijoz esa baribir ishlamaydi. Agar tarjima qilinmasa, uzoq tomon mijozning quyi tarmog'iga qaytish marshrutini bilishi kerak, ko'plab shlyuzlarda esa bunday marshrut standart bo'yicha yo'q. Qanday bo'lmasin, routerning o'z muvaffaqiyati ahamiyatsiz, chunki uning paketlari mahalliy hosil bo'lgan va hech qachon yo'naltirish yo'lidan o'tmagan.

Mahalliy va yo'naltirilgan trafik farq qiladi

Linux va ko'pchilik router proshivkalari qutining o'zi hosil qilgan paketlarni undan o'tadigan paketlardan boshqacha ko'rib chiqadi. Output zanjiri birinchi turni ko'radi, forward zanjiri ikkinchisini ko'radi va routerning o'z trafigiga moslangan siyosat yo'naltirishga tegmasdan qoldirishi mumkin.

sysctl net.ipv4.ip_forward
ip -4 address show br-lan
ip route get 203.0.113.9
nft list ruleset | grep -A 6 'chain forward'

Yo'naltirish umuman yoqilganligini tekshiring, so'ng output zanjiri o'rniga forward zanjirini o'qing. Shifrlangan tashqi ulanishga ruxsat beruvchi qoida shifri ochilgan paketlarni yo'naltirishga ruxsat beruvchi qoida emas va bu ikkisini aralashtirish aynan shu belgini keltirib chiqaradi. Tunnelning ishlashi faqat birinchisini isbotlaydi.

Qaytish yo'li ham bo'lishi kerak

Manba tarjimasi qaytish yo'li kerakmi yoki yo'qmi hal qiladi. Tunnel interfeysida masquerading bo'lsa, javoblar tunnel manziliga qaytadi va router ularni qayta tarjima qiladi. Usiz uzoq shlyuzga mijozning quyi tarmog'iga aniq marshrut kerak va uning o'z siyosati ham shu yo'nalishga ruxsat berishi kerak.

Biron narsani o'zgartirishdan oldin joylashtirish ikki loyihadan qaysi birini ishlatishini yozib oling, chunki tuzatishlar qarama-qarshi yo'nalishlarni ko'rsatadi. Tarjimani qo'shish yo'qolgan qaytish marshrutini yashiradi va asl manba manzilini talab qiladigan ilovalarni buzadi. Tarjimasiz qaytish marshrutini qo'shish uzoq xavfsizlik devori notanish manbani tashlaganda jimgina muvaffaqiyatsiz bo'ladi. Bittasini tanlang, hujjatlashtiring va boshqa tomonni moslashtiring.

Mijozning DNS ham xuddi shu ko'rib chiqishga kiradi. Routerning rezolveri javob berishi mumkin, boshqa serverga yo'naltirilgan mijoz esa hech narsa olmaydi.

Bitta ruxsat etilgan va bitta taqiqlangan oqimni tekshiring

Tuzatishdan so'ng routerning mavjud sessiyasi o'rniga mijozdan yangi ulanishni sinab ko'ring. So'ng tunnel ishlatmasligi kerak bo'lgan segment hali ham ishlatmasligini tasdiqlang.

curl -sS --max-time 8 https://api.ipify.org
ip route get 203.0.113.9
dig +short intranet.example.net

Uzoq uchida kuzatilgan manba manzilini tekshiring, chunki bu qaysi loyiha haqiqatda ishlayotganini aytadi. Manzil bilan birga nom qidiruvini ham tekshiring, chunki rezolverning xatti-harakati xuddi shu quti orqali o'tadigan alohida yo'l.

Qoidalarni tunnel kerak bo'lgan mijoz tarmoqlari bilan cheklab turing va bitta test o'tishi uchun yo'naltirish filtrini o'chirish vasvasasiga qarshi turing. Bu o'zgarish testni tuzatadi va tunnel taqdim etishi kerak bo'lgan chegarani olib tashlaydi. Manba manzilini, tarjima qarorini va qaytish marshrutini sana bilan birga bitta yozuvga yozing.