Tunnel ko‘tarildi, internet yo‘q: qayta yo‘naltirish qayerda to‘xtaydi

Mijoz ulanadi, tunnel shlyuzga ping yetkazadi va undan narida hech narsa javob bermaydi. Bu holat faqat himoyalangan tarmoqlarga kirish uchun mo‘ljallangan shlyuz uchun normal, to‘liq tunnel chiqishi deb e’lon qilingan shlyuz uchun esa nosozlik. Qoidalarni o‘zgartirishdan oldin qaysi xizmat va’da qilinganini tasdiqlang. So‘ngra bitta ommaviy so‘rovni to‘xtashi mumkin bo‘lgan to‘rt joydan kuzatib boring. Bitta so‘rov va bitta paket yozuvi bir sahifa taxmindan ko‘proq narsani hal qiladi.

Internetga chiqish boshidanoq loyiha bo‘lganini tasdiqlang

Bo‘lingan tunnel profili VPNga faqat himoyalangan quyi tarmoqlarni yo‘naltiradi, shuning uchun ommaviy ko‘rish mahalliy havola orqali davom etadi va shlyuzga hech qachon tegmaydi. To‘liq tunnel profili tunnelga standart marshrut o‘rnatadi va bu shlyuzni butun yo‘l uchun javobgar qiladi. Ikkalasi ham qonuniy loyiha, ularni chalkashtirish esa nosozlik yo‘q joyda nosozlik hisobotini keltirib chiqaradi. Boshqa narsani sinashdan oldin mijoz e’lon qilgan marshrutlarni o‘qing, chunki marshrut jadvali chiptada odatda noto‘g‘ri qo‘yiladigan savolga javob beradi.

Mijoz o‘rnatadigan narsa har doim profil nazarda tutgan narsa emas. Itarib yuborilgan marshrutni pastroq metrikali mahalliy marshrut bosib ketishi mumkin, standart marshrut qo‘shayotib LAN marshrutini saqlaydigan mijoz esa o‘sha quyi tarmoq uchun bo‘lingan tunnel kabi ishlaydi.

Bitta ommaviy so‘rovni kuzatib boring

Bitta manzilni tanlang va uni mijozdan tashqariga qarab kuzatib boring. Mijozda paket haqiqatan tunnelni tanlayotganini va qaysi mahalliy manzilni manba sifatida ishlatayotganini tekshiring. So‘ngra shlyuzni tekshiring: paket keladimi va ommaviy interfeysdan chiqadimi. Bu javoblarning har biri butun bir sabab toifasini olib tashlaydi.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Agar shlyuz paketni hech qachon ko‘rmasa, mijoz marshruti yoki tunnel tanlovi noto‘g‘ri. Agar u kelib chiqmasa, muammo shlyuzda va qolgan uchta tekshiruv amal qiladi.

Qayta yo‘naltirish, marshrut va tarjimani tekshiring

strongSwan bilan keladigan qayta yo‘naltirish qo‘llanmasi har qanday tunnel turidagi shlyuzga tegishli: yadroga paketlarni interfeyslar orasida ko‘chirishga ruxsat berilishi kerak, foydali marshrut esa internetga qarab ko‘rsatishi kerak. Keyin tarmoq ekrani siyosati trafikka ruxsat berishi kerak, manba manzil esa ommaviy tomon javob bera oladigan manzil bo‘lishi kerak. Internetga o‘zgartirilmasdan yo‘naltirilgan xususiy mijoz manzili hech qachon javob olmaydi.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Manba tarjimasi odatda yetishmayotgan qismdir. U bilan shlyuz mijoz manbasini o‘zining ommaviy manziliga qayta yozadi va oqimni kuzatadi; usiz javobning boradigan joyi yo‘q. Bulut platformalari ikkinchi chegarani qo‘shadi, u yerda instansiya marshrut jadvali yoki xavfsizlik guruhi mehmon tarmoq ekrani ruxsat bergan trafikni tashlab yuborishi mumkin. Bu chegarani o‘tkazib yuborish oson, chunki mehmon tizimi ichkaridan to‘g‘ri sozlangan ko‘rinadi.

Asimmetrik sozlashda teskari yo‘l filtrlash ham haqiqiy paketlarni tashlab yuborishi mumkin. O‘sha qoidaning hisoblagichini o‘qing, hammasi joyida deb o‘ylamang, chunki ommaviy interfeysdagi qat’iy sozlama marshrut jadvali bashorat qilganidan boshqa yo‘l bilan kelgan trafikni rad etadi.

Javob yo‘li va hal qiluvchi ikki xil javobdir

Faqat so‘rovni emas, javobni ham kuzatib boring. Agar so‘rov tarjima qilingan holda chiqsa va javob tarjima qilingan oqimga qaytsa, dastur hali ham ishlamayotgan bo‘lsa ham qayta yo‘naltirish ishlaydi va keyingi tekshiruv dastur yoki DNSga tegishli.

HTTP xatosini qaytaradigan sayt internetga qayta yo‘naltirish ishlayotganining dalilidir. Manzil orqali kirish ishlayotganda hal qilinmaydigan nom — hal qiluvchi muammosi, NAT muammosi emas.

Aniq tuzatishdan keyin mijozni va ataylab cheklangan har qanday xususiy resursni qayta sinab ko‘ring. Internetga kirish berish shlyuzga ulangan har bir tarmoqqa kirishni indamay kengaytirmasligi kerak.