Niyə VPN tunel ünvanınız daxil olan port açmır
Tunel ünvanı müştərinizi ona marşrutlaşa bilən həmyaşıdlara tanıdır və heç vaxt dinləyici yaratmır. Bağlamanı, geri dönüş marşrutunu, sonra siyasəti yoxlayın.
Ofis VPN-inə qoşulun, 8443 portunda kiçik bir xidmət başlayın, tunel ünvanını həmkarınıza göndərin və müştəri hələ də qoşulduğunu bildirərkən bağlantının uğursuz olduğunu izləyin. Tuneldə heç nə pozulmayıb: ünvan verilib, sessiya açıqdır və cavabı daşıyacaq paketlər sadəcə heç vaxt buraxılmır. Aşağıdakı üç yoxlamanı sıra ilə aparın və uğursuz olan birində dayanın, çünki hər birinin düzəlişi fərqlidir və yalnız biri VPN ilə bağlıdır.
Soketin həqiqətən haraya bağlandığı ilə başlayın
Hər hansı marşrutlaşdırmadan əvvəl nəyinsə zəng edənin çata bildiyi ünvanda dinləməsi lazımdır. İnkişaf serverləri adi günahkardır, çünki onların çoxu standart olaraq loopback-ə bağlanır və yalnız eyni maşında yaranan bağlantıları qəbul edir. Tunel ünvanı bu bağlamanı dəyişmir və əməliyyat sistemi bağlantını VPN işə qarışmadan çox əvvəl rədd edəcək.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Vəziyyət sütunu yerinə yerli ünvan sütununu oxuyun. 127.0.0.1:8443 yalnız loopback deməkdir və düzəliş 0.0.0.0 və ya tunel ünvanının özünə bağlamaqdır. 0.0.0.0:8443 bütün interfeyslərdə qəbul edir ki, bu da maşının açıq ünvanı olduqda çoxlarının nəzərdə tutduğundan genişdir; 10.64.7.15:8443 isə yalnız həmkarın çata bildiyi yerdə dinləyən dar versiyadır. Həmin çıxışda proses adına da baxın, çünki əvvəlki sınaqdan qalmış kənar bir nüsxə portun açıq görünməsinin və yanlış məzmunla cavab verməsinin adi səbəbidir.
Sonra soruşun ki, hər hansı bir şey həmin ünvana marşrutlaşa bilirmi
Tunel ünvanı yalnız həmin prefiksi tunelə göndərmək üçün konfiqurasiya edilmiş həmyaşıdlar üçün mənalıdır. Həmkarın maşınının öz cədvəli var və tunel alt şəbəkəsi üçün marşrutu yoxdursa, paket standart şlüzə gedib ünvanın mövcud olduğunu bilməyən yerdə ölür. Bu, zəng edən tərəfdə marşrut məsələsidir, sizin tərəfdə icazə deyil.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
İki müştəri arasındakı server də eyni dərəcədə vacibdir. Adi uzaqdan giriş dizaynında hər müştəri şlüzə çıxan bağlantı açır və şlüz həmin axınlar üçün vəziyyət saxlayır, buna görə cavablar artıq bildiyi yolla geri qayıdır. Bir müştəridən digərinə bağlantı şlüzün qəbul edib yönləndirməli olduğu yeni axındır və bir çox yerləşdirmə müştəriləri bir-birindən təcrid etmək üçün bunu qəsdən söndürür. İstehlakçı VPN xidmətləri adətən standart olaraq təcrid edir; korporativ şlüzlər bəzən bunu qrup üzrə icazə verir.
Hostda hər hansı dəyişiklik etməzdən əvvəl istiqaməti yoxlayın. Tunel ünvanı şlüzün özündən cavab verir, həmyaşıddan vermirsə, fərq şlüzün müştəridən müştəriyə parametridir və yerli firewall redaktəsinin heç bir miqdarı onu əvəz etməyəcək.
Nəhayət, axına icazə verən siyasəti tapın
Marşrutlaşdırılmış paketlə cavab verən xidmət arasında üç siyasət qatı dayanır: VPN serverinin yönləndirmə qərarı, host firewall-u və instansın qarşısındakı istənilən bulud təhlükəsizlik qrupu. Üçü də razılaşmalıdır və onlar fərqli şəkildə uğursuz olur, buna görə yuxarıdakı cədvəldəki simptom brauzerdəki xəta mesajından daha faydalıdır.
Host firewall-u uğurlu bağlamadan sonra insanların unutduğu qatdır, çünki portu LAN interfeysində icazə verən qayda onu tunel interfeysində avtomatik icazə vermir. İnterfeysə bağlı qaydalar düzgün dizayndır və həm də ofisdən işləyib evdən işləməyən xidmətin adi səbəbidir. Qaydanın port nömrəsini deyil, əhatəsini oxuyun.
Vəziyyət əsaslı filtrləmə əks halı izah edir. Noutbukdan çıxan bağlantı vəziyyət yaradır və ona cavablar daxil olan qayda olmadan buraxılır. Həmkarın bağlantısı arxasında heç bir vəziyyət olmayan tam yeni axındır, ona görə açıq icazə lazımdır. Bu asimmetriya öz maşınınızda işləyən brauzer sessiyasının xidmətin xaricdən əlçatan olub-olmadığı barədə heç nə deməməsinin bütün səbəbidir.
Bir yoxlama uğursuz olduqda tuneli deyil, dizaynı dəyişin
Tələb həmkarın yerli xidmətinizi açmasıdırsa, dürüst cavab adətən daxil olan giriş üçün qurulmuş mexanizmdir. Əks SSH tuneli ən kiçiyidir: maşınınız həmkarın artıq çata bildiyi hosta çıxan bağlantı qurur və dinləyici həmin hostda mövcud olur.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Relay SSH server konfiqurasiyasında GatewayPorts clientspecified tələb edir, əks halda yönləndirilmiş dinləyici relay-də loopback-ə bağlanır və həmkar əvvəlki kimi eyni rədd cavabı ilə üzləşir. Bir günortadan daha uzun yaşayan hər şey üçün sağlamlıq yoxlaması və dərc olunmuş ad üçün sertifikatı olan yük balanslaşdırıcı və ya ingress daha yaxşı alətdir və iki şəbəkə həqiqətən danışmalı olduqda hər iki alt şəbəkə üçün marşrutlu saytdan sayta tunel düzgün cavabdır.
Bu dizaynların hər biri məruz qalmanı açıq edir və məqsəd də budur. VPN paketləri artıq istifadəyə icazəniz olan şəbəkələr arasında hərəkət etdirir; o, xidmət dərc etmir və noutbuku internetə baxan hosta çevirmir. Tapşırıq üç qatdan hansını dəyişmək olduğunu qərarlaşdırmaqdır və tunel bunlardan nadir hallarda biridir.