Qonaq VPN və host VPN: hansı marşrut həqiqətən qalib gəlir

İki klient eyni vaxtda işləyir, hər biri standart marşruta sahib olduğuna əmindir və simptom qəribə bir şey kimi görünür: bir qonaq tətbiqi işləyir, digəri yanlış yerə çözülür. Qonağın içindəki VPN və hostdakı VPN birgə mövcud ola bilər, ancaq xarici yol və daxili siyasət kimin nəyi daşıdığı barədə razılaşdıqda. İkisini birdən işə salmaq özlüyündə zəncir yaratmır. Əvvəlcə qoşulmanı qeyd edin, sonra hər dəfə bir şeyi dəyişin.

Əvvəlcə qonağın qoşulmasını qeyd edin

Qonaq öz VPN serverinə hipervizorun ona verdiyi yolla çatır: hostun arxasında NAT, fiziki seqmentə körpü və ya üzərinə marşrutlaşdırma əlavə edilmiş yalnız-host şəbəkəsi. Hər qoşulma qonağın nə görə biləcəyini və hostun onun trafikinə nə edə biləcəyini dəyişir. NAT altında qonağın paketləri hostdan gəlmiş kimi görünür, buna görə hostun öz tuneli onları qonağın heç nədən xəbəri olmadan daşıya bilər. Körpü altında isə qonağın seqmentdə öz varlığı və öz standart şlüzü olur.

Hər hansı konfiqurasiyaya toxunmazdan əvvəl qoşulmanı, hansı klientin hansı tətbiqi daşımalı olduğu ilə birlikdə yazın. Bu cümlə bu müraciətlərin çoxunu həll edir, çünki iki klient adətən fərqli fərziyyələr üzərində qurulur. Host tunelindən istifadə etməsi gözlənilən qonağın özünün rəqib standart marşrutu da olmamalıdır.

Qonağın son nöqtəsini xaricə izləyin

Qonaq VPN-in hər hansı başqa şey işləməzdən əvvəl öz serverinə yararlı yol lazımdır. Host tuneli açıq olduqda və qonaq NAT arxasında oturduqda, qonağın əl sıxması host tunelindən çıxır; bu ya dizayndır, ya da heç kimin sənədləşdirmədiyi təsadüfdür. Host tuneli düşdükdə və qonaq ondan asılı olduqda, qonaq öz tərəfində bir dənə dəyişiklik olmadan bağlantını itirir. Son nöqtəni xaricə izləmək sizə bu iki halın hansının gerçək olduğunu deyir.

Hər iki kontekstdə geniş marşrut digər klientin gözlədiyi trafiki tutur. Qonağın içində 0.0.0.0/0 marşrutu və tam tunelli host klienti hər şeyə iddia edir və son tətbiq olunan qalib gəlir. Qonağın virtual şəbəkələri, yerli LAN və uzaq şəbəkələr arasındaki üst-üstə düşmələr özəl prefikslər üçün eyni effekti yaradır; nasazlıqlar autentifikasiya problemlərinə bənzəyir, ünvan çevirmə davranışı isə konteyner şəbəkələşməsi üçün təsvir edilən eyni davranışdır.

Əvvəl və sonra qeydini müqayisə edin

Host tuneli bağlı ikən, ya da siyasətinizin icazə verdiyi nəzarətli vəziyyətdə başlanğıc ölçmə götürün və qonağın marşrutunu və həlledici qeyd edin. Sonra birləşdirilmiş konfiqurasiyanı tətbiq edin və iki qeydi müqayisə edin, məxfilik tələblərini qoruyaraq. Birbaşa başlanğıc ölçmə uyğun deyilsə, müqayisəni atlamaq əvəzinə bu məhdudiyyəti qeydə yazın.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Marşrut sorğusu konkret bir təyinatı daşıyacaq interfeysi və mənbə ünvanını göstərir və bu, bu araşdırmadakı ən faydalı sətirdir. Qayda siyahısı siyasət marşrutlaşdırmasının bəzi təyinatları ikinci cədvəldən göndərib-göndərmədiyini göstərir. Həlledici çıxışı DNS-in qonaq tunelini izlədiyini və ya hostun yolunda qaldığını göstərir. Eyni üç əmri dəyişiklikdən əvvəl və sonra işə salın, fərq günahkarı göstərəcək.

Yenidən başlatmalar arasında sahibliyi aydın saxlayın

Host klientinin yerli giriş məhdudiyyəti virtual NAT və ya körpüyə trafiki bloklaya bilər və bu məhdudiyyət tez-tez qonağın etimad məlumatı problemi ilə səhv salınır. Testin keçməsi üçün məhdudiyyəti söndürmək əvəzinə klientin sənədləşdirilmiş davranışını oxuyun. Dəstəklənən düzəlişdən sonra qonaq tətbiqini və tələb etdiyiniz nasazlıq siyasətini yenidən sınayın. Uğurla yenidən qoşulan host qonağın marşrutu və ya həlledicisi barədə heç nə sübut etmir.

Hansı tərəfin standart marşruta sahib olduğunu qərarlaşdırın və bunu istismar təlimatına yazın. Qonağın yenidən başlaması və ya sahibliyi səssizcə tərsinə çevirən host şəbəkə dəyişikliyi heç vaxt günahkar olmayan VPN haqqında xəta hesabatı yaradır. Quruluş heç kim niyə işlədiyini xatırlamadan yenidən yükləmədən sonra da qalmalıdır.