لماذا لا يفتح عنوان نفق VPN منفذًا للدخول
عنوان النفق يعرّف عميلك إلى الأقران القادرين على التوجيه إليه، ولا ينشئ مستمعًا أبدًا. تحقّق من الربط، ثم مسار العودة، ثم السياسة.
اتصل بشبكة VPN الخاصة بالمكتب، وشغّل خدمة صغيرة على المنفذ 8443، وأرسل عنوان النفق إلى زميل، ثم راقب فشل الاتصال بينما يظل العميل يبلّغ أنه متصل. لا شيء معطوب في النفق: العنوان تم توزيعه، والجلسة قائمة، والحزم التي كانت ستحمل الرد ببساطة لا يُسمح لها بالمرور أبدًا. نفّذ الفحوص الثلاثة أدناه بالترتيب وتوقّف عند الفحص الذي يفشل، لأن لكل منها إصلاحًا مختلفًا، وواحدًا فقط منها يتعلق بشبكة VPN.
ابدأ من المكان الذي تُربط فيه المقبس فعليًا
قبل أن يُوجَّه أي شيء، يجب أن يستمع شيء ما على عنوان يستطيع المُنادي الوصول إليه. خوادم التطوير هي المذنب المعتاد، لأن كثيرًا منها يُربط افتراضيًا بواجهة الاسترجاع ولا يقبل إلا الاتصالات الصادرة من الجهاز نفسه. عنوان النفق لا يغيّر هذا الربط، وسيرفض نظام التشغيل الاتصال قبل أن يكون للشبكة الخاصة الافتراضية أي دور.
ss -ltnp | grep 8443
netstat -ano | findstr 8443اقرأ عمود العنوان المحلي بدلًا من عمود الحالة. 127.0.0.1:8443 يعني واجهة الاسترجاع فقط، والإصلاح هو الربط على 0.0.0.0 أو على عنوان النفق نفسه. يقبل 0.0.0.0:8443 على كل الواجهات، وهو أوسع مما يقصده معظم الناس عندما يكون للجهاز عنوان عام أيضًا؛ أما 10.64.7.15:8443 فهو النسخة الضيّقة التي تستمع فقط حيث يستطيع الزميل الوصول. لاحظ اسم العملية في المخرجات نفسها، لأن نسخة شاذة من اختبار سابق سبب شائع لأن يبدو المنفذ مفتوحًا ويجيب بمحتوى خاطئ.
ثم اسأل هل يمكن لأي شيء التوجيه إلى ذلك العنوان
لا يكون عنوان النفق ذا معنى إلا للأقران المهيّئين لإرسال تلك البادئة داخل النفق. لجهاز الزميل جدوله الخاص، وما لم يكن لديه مسار إلى الشبكة الفرعية للنفق، تذهب الحزمة إلى البوابة الافتراضية وتموت في مكان لا يعرف أن العنوان موجود. هذه مسألة توجيه على جانب المُنادي، لا إذن على جانبك.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
الخادم بين العميلين لا يقل أهمية. في تصميم الوصول البعيد الشائع، يفتح كل عميل اتصالًا صادرًا إلى البوابة، وتحتفظ البوابة بحالة تلك التدفقات، فتعود الردود على مسار تعرفه مسبقًا. أما الاتصال من عميل إلى عميل آخر فهو تدفق جديد على البوابة أن تقبله وتعيدة توجيهه، وكثير من عمليات النشر يعطّل ذلك عمدًا لإبقاء العملاء معزولين بعضهم عن بعض. خدمات VPN الاستهلاكية تعزل افتراضيًا عادةً؛ وبوابات الشركات تسمح بذلك أحيانًا لكل مجموعة.
تحقّق من الاتجاه قبل أن تغيّر أي شيء على المضيف. إذا كان عنوان النفق يجيب من البوابة نفسها وليس من قرين، فإعداد الاتصال بين العملاء على البوابة هو الفرق، ولن يعوّض عنه أي قدر من تعديل جدار الحماية المحلي.
وأخيرًا، اعثر على السياسة التي تسمح بالتدفق
تقع ثلاث طبقات سياسة بين الحزمة الموجّهة والخدمة التي تجيب: قرار إعادة التوجيه في خادم VPN، وجدار حماية المضيف، وأي مجموعة أمان سحابية أمام المثيل. الثلاث جميعًا يجب أن تتفق، وكل منها يفشل بطريقة مختلفة، ولهذا فإن العَرَض في الجدول أعلاه أنفع من رسالة الخطأ في المتصفح.
جدار حماية المضيف هو الطبقة التي ينساها الناس بعد نجاح الربط، لأن قاعدة تسمح بالمنفذ على واجهة الشبكة المحلية لا تسمح به تلقائيًا على واجهة النفق. القواعد المقيّدة بالواجهة تصميم صحيح، وهي أيضًا السبب المعتاد لخدمة تعمل من المكتب ولا تعمل من المنزل. اقرأ نطاق القاعدة لا رقم منفذها.
الترشيح القائم على الحالة يفسّر الحالة المعاكسة. اتصال صادر من حاسوبك ينشئ حالة، وتُقبل الردود عليه دون قاعدة دخول. أما اتصال الزميل فتدفق جديد تمامًا لا حالة خلفه، لذا يحتاج إلى سماح صريح. هذا التفاوت هو السبب الكامل في أن جلسة متصفح ناجحة على جهازك لا تقول شيئًا عن إمكانية الوصول إلى الخدمة من الخارج.
عندما يفشل فحص واحد، غيّر التصميم لا النفق
إذا كان المطلوب أن يفتح زميل خدمتك المحلية، فالإجابة الصادقة عادةً آلية مبنية للوصول الوارد. نفق SSH معاكس هو الأصغر: يتصل جهازك صادرًا بمضيف يستطيع الزميل الوصول إليه أصلًا، ويوجد المستمع على ذلك المضيف.
ssh -N -R 8443:127.0.0.1:8443 [email protected]يحتاج المرحّل إلى GatewayPorts clientspecified في إعداد خادم SSH، وإلا رُبط المستمع المُعاد توجيهه بواجهة الاسترجاع على المرحّل، فيصطدم الزميل بالرفض ذاته كما من قبل. ولأي شيء يعيش أطول من أمسية، فإن موازن التحميل أو الدخول مع فحص صحي وشهادة للاسم المنشور هو الأداة الأفضل، ونفق موقع إلى موقع بمسارات لكلا الشبكتين الفرعيتين هو الجواب الصحيح عندما تحتاج شبكتان فعلًا إلى التحدث.
كل واحد من تلك التصاميم يجعل الكشف صريحًا، وهذا هو المقصود. الشبكة الخاصة الافتراضية تنقل الحزم بين شبكات كنت مخوّلًا لاستخدامها بالفعل؛ وهي لا تنشر خدمة ولا تحوّل حاسوبًا محمولًا إلى مضيف مواجه للإنترنت. المهمة هي تحديد أي الطبقات الثلاث تغيّر، والنفق نادرًا ما يكون إحداها.