خادم الويب يختفي عند اتصال عميل VPN

الخدمة التي تختفي لحظة اتصال عميل VPN ليست عادةً محجوبة، بل تجيب عبر الواجهة الخاطئة. يصل الطلب على بطاقة الشبكة الفيزيائية، ويكتب الخادم الخفي رداً، ثم يسلّم جدول التوجيه ذلك الرد إلى النفق، لأن النفق استولى على المسار الافتراضي. لا يرى العميل البعيد أبداً جواباً لاتصال فتحه، فينتظر ثم يبلّغ عن انتهاء المهلة. لا تتدخل أي قاعدة جدار ناري في تلك السلسلة.

العَرَض: طلبات تدخل وردود تخرج من الباب الخطأ

الدليل هو اتصال وارد يفشل بينما يعمل كل شيء آخر على المضيف. ومن الدلائل أيضاً مضيف يمكن الوصول إليه من الشبكة المحلية لا من الإنترنت، أو مضيف يعمل حتى يعيد النفق الاتصال ثم يتوقف. في كل حالة يعمل الاتجاه الصادر ولا يعمل اتجاه العودة، وهذا يشير إلى عدم تناظر في التوجيه لا إلى سياسة.

أكّد ذلك بمراقبة أين يذهب الرد، لا بمراقبة وصول الطلب.

التقط على الواجهة الفيزيائية وعلى جهاز النفق في الوقت نفسه. إذا ظهر الطلب على الواجهة الفيزيائية وظهر الرد على النفق فقد انتهى التشخيص. أما الرد الذي لا يظهر في أي مكان فيعني أن الخدمة لم تقبل الاتصال قط، وهذا تحقيق منفصل بعلة منفصلة.

مساران افتراضيان وقرار توجيه واحد

العميل الذي يثبّت مساراً افتراضياً يضيف مدخلاً ثانياً بمقياس أفضل من بوابة الشبكة المحلية. بعض العملاء يثبّتون بدلاً من ذلك مسارين نصف مدى، يغطيان المساحة نفسها بصورة أكثر تحديداً ويفوزان بالبحث بالطريقة نفسها. كلتا الطريقتين تتركان الحزم العادية الصادرة تختار واجهة النفق.

يُتخذ ذلك الاختيار بالوجهة وحدها. فالنواة لا تسأل من أين جاءت الحزمة إلا إذا أمرتها قاعدة سياسة بذلك. لذا يُسلَّم الرد على عنوان عميل عام إلى النفق، الذي يستقبل طرفه البعيد حزمة بعنوان مصدر لا يملكه فيهملها أو يمررها إلى مكان غير مفيد. وعلى لينكس يمكن لتصفية المسار العكسي الصارمة أن تُسقط الطلب الأصلي قبل أن تراه خدمتك أصلاً، وهو ما يبدو من الخارج مطابقاً. كلتا الحادثتين تأتيان من الغياب نفسه للارتباط بين التدفق الوارد وردّه.

يتصرف النفق بشكل صحيح طوال الوقت. لقد طُلب منه حمل المسار الافتراضي وهو يفعل ذلك تماماً.

أصلح مسار العودة دون كسر النفق

توجد ثلاثة أشكال متينة للإصلاح، ويعتمد الاختيار على مقدار حركة المضيف نفسه التي ينبغي أن تبقى داخل النفق. استثناء وجهة الخدمة أو منفذها هو أصغر تغيير. والتوجيه بالسياسة حسب المصدر أو العلامة هو الأدق. وترجمة المصدر هي الأكثر فجاجة والأسهل شرحاً بعد سنتين.

اختر بحسب ما يجب أن يفعله المضيف، لا بحسب أول مقتطف عثرت عليه.

استثناء وجهة يناسب خدمة لها عنوان عام ثابت، وربط الخادم الخفي بالعنوان الفيزيائي بدلاً من كل عنوان يجعل ذلك الاستثناء أكثر أماناً. قاعدة سياسة تختار جدولاً حسب المصدر تُبقي اتصالات المضيف نفسه داخل النفق مع إعادة ردود الخدمة عبر بوابة WAN. وتمويه الردود إلى واجهة WAN يبلغ المسار نفسه بكلفة إخفاء عنوان العميل عن سجلات الخدمة. تغيير المسار الافتراضي بطريقة عشوائية تشخيص لا إعداد، لأن العميل يعيد كتابة المسارات عند كل إعادة اتصال.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

حين يوجّه المضيف أيضاً لشبكة محلية خلفه

على مسافة قفزة أبعد، يعود عدم التناظر نفسه مع أجزاء متحركة أكثر. تصل الحركة إلى الموجّه من الإنترنت، وتُمرَّر إلى جهاز داخلي، وسبيل ذلك الجهاز الوحيد للعودة هو النفق، فيصل الجواب إلى العميل الأصلي من عنوان المزوّد نفسه. ثم يلتقي تتبع الاتصالات بردّ لتدفق لم يره يبدأ فيهمله. أما العميل فلا يرى شيئاً على الإطلاق.

يصلح ذلك تغييران: ترجمة الوجهة حتى يصل الاتصال الوارد إلى الجهاز الداخلي، وترجمة المصدر حتى يبدو ردّ ذلك الجهاز قادماً من الموجّه نفسه.

في برامج الموجّه الثابتة التعبير المعتاد هو قاعدة سياسة تثبّت تمرير المنفذ على جانب WAN بينما تسير حركة الموجّه نفسه على النفق. بدون ترجمة المصدر يكون ذلك الرد موجهاً إلى العميل الخارجي ولا سبيل للجهاز الداخلي إليه أصلاً. اختبر ثلاثة أشياء منفصلة، لأنها تفشل لأسباب مختلفة: اتصال قادم من الخارج، وآخر يبدأه المضيف نفسه، وبحث عن اسم.