VPN client lori LAN server: idi ti awọn idahun fi n jade ni ọna ti ko tọ

Awọn ami naa tẹle apẹrẹ kan: host kan n ṣiṣẹ, lẹhinna o sopọ mọ VPN gẹgẹbi onibara, ati ni bayi awọn onibara LAN de ọdọ rẹ nigba ti awọn idahun rẹ n padanu. Gbigba lori host fihan pe awọn idahun n jade nipasẹ ẹrọ tunnel dipo ẹrọ LAN. Ko si ohun ti o bajẹ ninu tunnel, ati atunṣe ni ipa-ọna kan, kii ṣe tun-sopọ. Ṣe awọn ayẹwo mẹrin ni isalẹ ni ilana ki o duro ni akọkọ ti o kuna.

Idahun jẹ pakiti tuntun, kii ṣe ipadasẹhin ọna

O ṣe iranlọwọ lati fi ero pe idahun pada si ọna ti ibeere gba silẹ. Iṣakoso ipa-ọna ni a pinnu fun pakiti kọọkan, fun itọsọna kọọkan, lori host ti n firanṣẹ. Ibeere ti o wa lati 10.64.0.23 ninu tunnel ko ṣẹda ọna ipadasẹhin; nigbati host ba dahun, a fi idahun yẹn wé tabili gẹgẹbi pakiti tuntun o si jade nipasẹ ipa-ọna ti o bori.

Iyẹn ni idi ti VPN client ti o kun lori ẹrọ ti o tun n ṣe LAN fi n ṣẹda ikuna idarudapọ bẹẹ. Client naa fi ipa-ọna aiyipada sori, tabi awọn idaji ipa-ọna aiyipada meji ti awọn onibara kan fẹ, ati idahun si onibara LAN ni bayi ba tunnel mu. O lọ si ọdọ olupese, ti ko ni idi lati gbe e lọ, ati onibara LAN ri akoko ipari botile je pe host wa laaye ti o si n dahun ni agbegbe. Gbigba naa jẹ ki eyi han gbangba, ati tabili ipa-ọna ṣalaye rẹ.

Pa subnet meji mọ ninu ọkan bi o ti n ka iyoku. Ọkan ni adagun adiresi VPN nibiti awọn onibara ti o jinna ti n wa, ninu apẹẹrẹ yii 10.64.0.0/24. Ekeji ni LAN ti o gbọdọ tẹsiwaju lati ṣiṣẹ, 172.16.24.0/24 pẹlu olutọna rẹ ni 172.16.24.1. Aṣiṣe naa ni pe ipa-ọna aiyipada n pinnu ijabọ laarin wọn.

Fi gbigba ati wiwa ṣe afihan rẹ

Ki o to yi ohunkohun pada, jẹrisi ẹrọ ti idahun yoo lo. Wiwa yara ju gbigba lọ o si dahun gangan ibeere ti kọọkan yoo dahun nigbati a ba kọ pakiti naa.

ip route get 10.64.0.23 from 172.16.24.10
tcpdump -ni any -c 6 icmp

Ka idahun ni apakan meji. Ti o ba darukọ dev tun0, host yoo fi idahun pamọ o si fi fun olupese, ati onibara LAN kii yoo ri i laelae. Ti o ba darukọ dev eth0 ṣugbọn onibara tun gba akoko ipari, ipa-ọna ti tọ tẹlẹ ati pe a n ju pakiti naa nù lẹhinna, eyi ti o jẹ iṣoro miiran pẹlu atunṣe miiran.

Gbigba naa ni igbesẹ kanna yanju iyemeji ti ping ko le yanju. Idahun igbeja ti o de ọdọ onibara LAN fi han pe ọna kan n ṣiṣẹ, kii ṣe ẹrọ wo ni o gbe e, nitorina ṣe gbigba naa lori host funrararẹ ki o wo ibiti awọn fireemu ti n jade. Ẹrọ titẹ ni subnet kanna tẹsiwaju lati dahun, nitori ipa-ọna taara rẹ jẹ pato ju aiyipada tunnel lọ. Port ti a gbe lọ kuna gangan bii ṣiṣan miiran, nitori tabili yan ẹrọ naa, kii ṣe asopọ naa.

Fi ipa-ọna ti o dín julọ ti o bori tunnel sori

Gigun ipilẹ ni o pinnu, kii ṣe metric, nitorina ipa-ọna fun adagun onibara nipasẹ olutọna LAN bori ipa-ọna aiyipada eyikeyi ti client VPN fi sori. A ko nilo iṣẹ abẹ metric, ati pe aiyipada le duro gangan nibiti client ti gbe e si.

ip route replace 10.64.0.0/24 via 172.16.24.1 dev eth0
ip route get 10.64.0.23 from 172.16.24.10

Lo replace dipo add, nitori client ti o tun sopọ yoo ti fi akọsilẹ tirẹ sori, ati add keji kuna pẹlu aṣiṣe ipa-ọna ti o wa tẹlẹ ti a ka bi iṣoro igbanilaaye. Lori host Windows ibaamu ni route add 10.64.0.0 mask 255.255.255.0 172.16.24.1 -p, nibiti -p n tọju akọsilẹ laarin awọn atunbere, nitori client le tun kọ tabili nigbati tunnel ba pada. Lori host Windows ode-oni, ibaamu ti a ṣe atilẹyin ni New-NetRoute -DestinationPrefix 10.64.0.0/24 -NextHop 172.16.24.1 -InterfaceAlias Ethernet -PolicyStore PersistentStore, ati pe a paṣẹ route atijọ mọ gẹgẹbi fọọmu atijọ.

Alaye kan pinnu boya eyi tọ tabi o kan gbagbọ: igbesẹ ti o tẹle gbọdọ jẹ olutọna ti o ni ọna pada si awọn onibara nitootọ. Yiyi ipa-ọna si adiresi ti a fi tunnel de ọdọ rẹ funrararẹ ṣẹda lupu kan ti o farahan bi pipadanu lọna igba diẹ dipo ikuna mimọ. Jẹrisi igbesẹ ti o tẹle wa lori subnet LAN ki o to fọwọsi ila naa.

Tọju idahun naa lẹhin tun-sopọ

Ipa-ọna ti a fi ọwọ kun yoo duro ni boṣewa titi di isọdọtun atẹle. Ti adagun onibara jẹ oniyipada, fi i mọ sinu iṣeto server ki ipilẹ ti o ti ṣe ipa-ọna fun wa ni ipilẹ ti awọn onibara n gba; bibẹkọ o, akọsilẹ naa tọka si ibiti o ṣofo ati ami naa pada lẹhin awọn ọsẹ laisi idi ti o han. Kikọ ipa-ọna sinu up-script ti client funrararẹ jẹ aṣayan igbẹkẹle miiran, nitori o n ṣiṣẹ lẹhin ti client ti kọ tabili naa pada.

Firewall ti o ni ipo tun le bori ipa-ọna to tọ. Ti gbigba ba fihan ni bayi pe idahun n jade nipasẹ eth0 ati onibara tun gba akoko ipari, ṣayẹwo boya host n ju pakiti naa nù ki o to fi ranṣẹ. Àyọkà ọna ipadasẹhin ti o le ati net.ipv4.conf.all.rp_filter ti a ṣeto si 1 n ju awọn pakiti ti orisun wọn ko ni ṣe ipa-ọna pada nipasẹ ẹrọ ti wọn fi wọle nù, ati eyi gan ni ọran aiṣedeede ti o ṣẹda ni bayi ati lẹhinna tunṣe, ati ipo conntrack sọ itan kanna fun awọn port ti a gbe lọ.

Ayẹwo ikẹhin ni eyi ti eniyan n pa. Tun wiwa ṣe lẹhin ti tunnel ba sọkalẹ ti o si goke pada. Awọn iye mẹrin gbọdọ ba ohun ti o kọ mu: ibi-afẹde, igbesẹ ti o tẹle, ẹrọ naa ati orisun ti a yan. Ti eyikeyi ninu wọn ba gbe, client ti tun kọ tabili naa ati atunṣe naa wa ninu awọn kio rẹ, kii ṣe itan shell.