VPN şlüzü IP yönləndirmə tələb edir: nəyi yoxlamaq lazımdır

Müştəriniz şlüzün ünvanına ping göndərə bilər, halbuki onun arxasındakı bütün resurslar əlçatmaz qalır. Bu iki müşahidə sizinlə danışan hostu və yönləndirmə etməyən marşrutlaşdırıcını təsvir edir ki, bunlar eyni maşında fərqli rollardır. Ötürmə onların arasındakı açar rolunu oynayır.

İki rol bir-birindən asılı deyil, iki ünvan ailəsi də.

Öz ünvanına cavab vermə heç nəyi sübut etmir

Paket şlüzün özünə ünvanlandıqda yerli yığın onu istehlak edir və heç bir ötürmə qərarı verilmir. Buna görə tunel ünvanına və ya idarəetmə interfeysinə uğurlu ping demonun sağ olduğunu və tunelin qalxdığını bildirir, eyni zamanda qutunun arxasındakı şəbəkəyə gedən trafik haqqında heç nə demir. Nüvə ötürmə yoluna yalnız ona ünvanlanmayan paketlər üçün müraciət edir.

Tələbi parametr kimi deyil, rol kimi oxuyun: bu host paketləri iki interfeys arasında hərəkət etdirməlidir. Yalnız uzaq şəbəkəyə çatmaq lazım olan noutbuk bu rolu heç vaxt götürmür, sayt-sayt son nöqtəsi isə həmişə götürür. Tələbi belə oxumaq işləyən müştəri konfiqurasiyasının şlüzə köçürüldükdə niyə uğursuz olduğunu izah edir.

Eyni fikir ötürmə qərarının qarşısındakı firewall üçün də keçərlidir; onun nəyin ötürülə biləcəyi ilə bağlı öz siyasəti var.

Hər ünvan ailəsini ayrıca yoxlayın

IPv4 ötürməsi bir açardır, IPv6 ötürməsi isə hər interfeys üzrə öz davranışı olan başqa bir açardır. Birincinin aktivləşdirilməsi ikinci haqqında heç nə demir və iki yığımlı müştəri şəbəkənin yarısına çata bilər, qalanı isə qaranlıq qalır. Buna görə fərqli ailələrdən olan iki müştəri eyni şlüz barədə fərqli fikirdə ola bilər. Hər hansı parametri dəyişməzdən əvvəl uğursuz müştərinin hansı ailədən istifadə etdiyini soruşun. Marşrutlaşdırma dizaynının səhv olduğu qənaətinə gəlməzdən əvvəl hər ikisini təsdiqləyin.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Bir çox distributivdə işləmə zamanı oxuduğunuz dəyəri oraya xidmət və ya konfiqurasiya faylı yerləşdirib, ona görə də bir dəfəlik əmrlə edilən dəyişiklik yenidən başlatmada yox ola bilər. İşləmə dəyərini redaktə etməzdən əvvəl bu parametrə sahib olan faylı tapın.

Ötürmə dörd tələbdən biridir

İşləyən ötürülən axın eyni anda dörd şey tələb edir: müştəri təyinatın tunelin arxasında olduğunu bilməlidir, şlüzün irəliyə marşrutu olmalıdır, cavabların geri dönüş yolu olmalıdır və firewall trafikə icazə verməlidir. Mənbə ötürməsi bu dizayna qayda kimi deyil, seçim kimi aiddir, çünki simmetrik yollu şəxsi marşrutlaşdırılmış şəbəkəyə o lazım deyil, asimmetrik şəbəkəyə isə adətən lazımdır. Dördünün hər biri müstəqil şəkildə uğursuz olur, buna görə birini təmir etmək simptomu nadir hallarda dəyişir. Hər hansı birini dəyişməzdən əvvəl dördünü də yazın.

Bulud platformaları beşinci mülahizə əlavə edir. Bəziləri instansiyalarda mənbə və təyinat yoxlamalarını tətbiq edir və bu, qonaq nüvəsinin nə etmək üçün konfiqurasiya olunduğundan asılı olmayaraq ötürülən paketləri atır. Orada səlahiyyət platformanın öz şəbəkə sənədləridir, VM daxilindəki sysctl çıxışı deyil.

Müştəridən yoxlayın, şlüzdən deyil

Şlüzün öz shell-ində aparılan test yenicə aktivləşdirdiyiniz ötürmə yolunun heç bir hissəsindən keçmir. Trafiki problemi olan müştəridən yaradın və onun şlüzün özünə deyil, şlüzün arxasındakı bir şeyə çatdığını təsdiqləyin. Dəyişdiyiniz rolu sınaqdan keçirən yeganə test budur.

Dinləyici qaydalarını və ötürmə qaydalarını həm beyninizdə, həm də dəyişiklik qeydində ayrı saxlayın. VPN portunu açmaq müştəriləri xidmətə buraxır; onlara arxasındakı şəbəkədə heç nə vermir və illər boyu böyümüş firewall siyahısında ikisi eyni görünür.

Paketlər gəlib xidmət istifadəçini rədd edirsə, siz artıq şəbəkədən kənara çıxmısınız. Ötürmə siyasətini yenidən genişləndirmək əvəzinə tətbiq avtorizasiyası ilə davam edin.