O SSH sobre VPN funciona apenas quando os dois computadores estão conectados ao mesmo servidor VPN. Por quê?

Question

Peço desculpas antecipadamente se esta for uma pergunta duplicada. Eu tenho um PC rodando Lubuntu 18. Ele está conectado à Internet através de VPN.

1. Quando o PC não está conectado à VPN, posso SSH de qualquer lugar;
2. Quando o PC está conectado à VPN, só consigo conectar-me ao SSH quando o PC cliente está conectado ao mesmo servidor VPN que o PC servidor;
3. Eu posso conectar via SSH através da rede local a qualquer momento - com ou sem VPN - é assim que eu gerencio o PC sem um monitor.

Estou tentando entender o motivo disso. É porque a VPN assume a conexão e quando ambos os computadores estão conectados ao mesmo servidor VPN, ambos os computadores estão na mesma rede? Meu provedor usa NAT duplo. Eu tenho um IP público estático. No entanto, meu roteador não está conectado diretamente à Internet - ele tem o IP do ISP. De alguma forma, o IPS enviou o IP público para o meu roteador. Além disso, posso fazer login no gerenciamento remoto no meu roteador usando o IP público, embora receba esse aviso - acho que porque o IP do roteador não é o IP público; o gerenciamento remoto está desativado por motivos de segurança. Eu só abri para testar o IP -

Aviso do roteador de gerenciamento remoto

Obrigado!

    

Answer 1

Por padrão, o seu sistema operacional não faz roteamento baseado na origem (ou recursos alternativos que ajudariam no multihoming). Portanto, todos os pacotes de saída, independentemente da conexão à qual estão associados, seguem as mesmas rotas e saem pela mesma interface.

Como resultado: Quando o PC é conectado a uma VPN que fornece uma nova rota padrão, e você tenta fazer uma conexão SSH através da LAN regular, o PC tenta enviar os pacotes de resposta através da VPN - onde eles provavelmente são descartados pela proteção anti-falsificação.

Soluções possíveis (todas envolvem configuração manual):

• O Linux suporta roteamento baseado em origem para IPv6, usando rotas que também correspondem ao endereço "de" (RTA_SRC). Por exemplo, se você adicionasse manualmente a rota padrão para sua VPN, poderia usar:

  ip -6 route add ::/0 from fd01:2345:6789::/48 via fe80::1 dev tap0

• O Linux suporta o roteamento baseado em políticas para todas as versões de IP usando várias tabelas de roteamento:

  ip -6 route add ::/0 via fe80::1 dev tap0 table 1234
  ip -6 rule add pref 500 from fd01:2345:6789::/48 lookup 1234