[5.2 b0] Маршрутизация для политики с WireGuard VPN работает со сбоями

[iz07]

Добрый день

 

Настроил на роутере соединение с VPN. За основу брал инструкцию. Только политику по-умолчанию не трогал. Создал 2 политики: 1-я - все через VPN, 2-я - русский сегмент напрямую, а остальное - через VPN (сплит).

Когда клиента подключаю к политике, где все через VPN, то все сайты открываются нормально.

Когда клиента подключаю через сплит-политику, то зарубежные сайты открываются нормально. А российские то открываются, то нет (например mail.yandex.ru не грузит часть своих ресурсов с https://csp.yandex.net). Есть такие, что совсем не открываются. У меня есть сайт в сегменте ru. Он не открывается совсем. Даже если захожу на свой сервер по ssh и IP (без указания домена), то соединение висит. На сервер попасть не могу под сплит политикой. Сервер в РФ, если это важно.

Список доменных имен в маршрутизации:

ru
su
рф
vk.com
yandex.com
yandex.net

 

Пробовал на своем сервере (где мой сайт) запускать захват пакетов:

nohup timeout 300 tcpdump -Z root -ni any -w /tmp/test.pcap 'tcp port 443' >/dev/null 2>&1 &

потом читать его после попытки обращения через curl к сайту через сплит политику.

Захват показал следующее:

1. Соединение пришло с IP провайдера (то есть предназначенного для RU), как и должно быть.
2. TCP-рукопожатие и TLS прошли нормально. Сервер отправил сертификаты (3808 байт), клиент подтвердил их получение (ack 3808).
3. Клиент прислал завершение TLS и сам GET (пакеты на 80 и 97 байт). Сервер их получил.
4. Сервер отправил два пакета по 303 байта. Это Newsession Ticket, которые curl показал как полученные. Значит, данные от сервера до клиента дошли.
5. А дальше от клиента не пришло больше ни одного пакета. Сервер больше минуты повторяет отправку (retransmission), потому что не получает подтверждения. Ответ на GET он не отправляет, так как застрял на этих повторах.

Вывод от ИИ: примерно через 0,1 секунды после начала соединения пакеты к серверу перестают доходить, хотя в обратную сторону всё работает. Компьютер подтверждения отправляет (раз curl получил тикеты), но по пути от роутера к серверу они теряются или уходят не в тот интерфейс, скорее всего в VPN-туннель, где такое соединение никому не нужно. С ssh картина та же: после обмена ключами следующий пакет клиента до сервера не доходит, сервер ждёт.

С политикой «по умолчанию» такого не происходит. Значит, это Keenetic посреди соединения меняет, куда отправлять ваши исходящие пакеты, именно в смешанной политике.

 

Дополнение:

Пробовал отладить через захват пакетов на роутере. Отчет, правда, не сам анализировал, а через ИИ. ВОт такой результат:

Захват показал, что роутер начинает соединение через провайдера, а через долю секунды отправляет его пакеты в VPN-туннель. При правильном конфиге так быть не должно. Похоже на ошибку прошивки в функции «маршрут по доменам внутри политики»: это относительно новая возможность KeeneticOS.

 

Изменено Понедельник в 07:25 пользователем iz07
Дополнение про захват пакетов. В заголовке убираем опечактку