VPN müştərisi qoşulanda veb server görünməz olur

VPN müştərisi qoşulan anda yoxa çıxan xidmət adətən bloklanmır, səhv interfeysdən cavab verir. Sorğu fiziki şəbəkə kartına gəlir, demon cavab yazır və marşrut cədvəli bu cavabı tunelə verir, çünki tunel defolt marşrutu ələ keçirmişdir. Uzaq müştəri açdığı bağlantıya heç vaxt cavab görmür, ona görə gözləyir və sonra vaxt aşımı bildirir. Bu ardıcıllığın heç bir yerində firewall qaydası iştirak etmir.

Əlamət: Sorğular İçəri, Cavablar Yanlış Qapıdan Çölə

Nişanə hostda hər şey işləyərkən uğursuz olan daxil olan bağlantıdır. Başqa bir işarə LAN-dan əlçatan olub internetdən olmayan host, ya da tunel yenidən qoşulana qədər işləyib sonra dayanan hostdur. Hər halda irəli istiqamət işləyib, geri istiqamət işləməyib, bu da siyasətə deyil, marşrutlaşdırma asimmetriyasına işarə edir.

Bunu sorğunun gəlişinə deyil, cavabın hara getdiyinə baxaraq təsdiqləyin.

Eyni anda həm fiziki interfeysdə, həm də tunel qurğusunda tutun. Sorğu fiziki interfeysdə, cavab tuneldə görünürsə, diaqnoz bitib. Heç yerdə görünməyən cavab xidmətin bağlantını heç vaxt qəbul etmədiyini bildirir ki, bu ayrı səbəbli ayrı araşdırmadır.

İki Defolt Marşrut və Bir Marşrut Qərarı

Defolt marşrut quraşdıran müştəri LAN şlüzündən daha yaxşı metrikaya malik ikinci giriş əlavə edir. Bəzi müştərilər bunun əvəzinə iki yarım diapazonlu marşrut quraşdırır; onlar eyni məkanı daha dəqiq əhatə edir və axtarışı eyni cür qazanır. Hər iki üsul adi çıxan paketləri tunel interfeysini seçməkdə qoyur.

Bu seçim yalnız təyinatla edilir. Nüvə paketin haradan gəldiyini soruşmur, məgər siyasət qaydası bunu əmr etsə. Beləliklə, açıq müştəri ünvanına cavab tunelə verilir; onun uzaq ucu özünə məxsus olmayan mənbə ünvanlı paket alır və onu atır və ya yararsız yerə yönəldir. Linuxda ciddi tərs yol filtrləməsi orijinal sorğunu xidmətiniz görməmişdən əvvəl də ata bilər ki, bu, xaricdən eyni görünür. Hər iki simptom daxil olan axınla onun cavabı arasındakı eyni çatışmayan əlaqədən irəli gəlir.

Tunel boyu düzgün davranır. Ona defolt marşrutu daşımaq tapşırılıb və o, məhz bunu edir.

Tuneli Pozmadan Geri Yolu Düzəldin

Üç davamlı təmir forması mövcuddur və seçim hostun öz trafikinin nə qədərinin tuneldə qalmalı olduğundan asılıdır. Xidmətin təyinatını və ya portunu istisna etmək ən kiçik dəyişiklikdir. Mənbəyə və ya işarəyə görə siyasət marşrutlaşdırması ən dəqiqdir. Mənbə tərcüməsi ən kobud və iki il sonra izah etmək üçün ən asandır.

İlk tapdığınız kod parçasına görə deyil, hostun nə etməli olduğuna görə seçin.

Təyinatın istisna edilməsi sabit açıq ünvana malik xidmətə uyğundur və demonun hər ünvana deyil, fiziki ünvana bağlanması bu istisnanı daha təhlükəsiz edir. Mənbəyə görə cədvəl seçən siyasət qaydası hostun öz bağlantılarını tuneldə saxlayır, xidmət cavablarını isə WAN şlüzündən qaytarır. Cavabları WAN interfeysinə maskalamaq eyni yolu müştərinin ünvanını xidmət jurnallarından gizlətmək bahasına çatır. Defolt marşrutun ad-hoc dəyişdirilməsi konfiqurasiya deyil, diaqnostikadır, çünki müştəri hər yenidən qoşulmada marşrutları yenidən yazır.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Host Öz Arxasındakı LAN üçün də Marşrutlaşdıranda

Bir hop daha uzaqda eyni asimmetriya daha çox hərəkətli hissə ilə qayıdır. Trafik internetdən marşrutlaşdırıcıya gəlir, daxili qurğuya yönləndirilir və həmin qurğunun geri yeganə yolu tuneldir, ona görə cavab orijinal müştəriyə provayderin öz ünvanından çatır. Sonra bağlantı izləmə heç başladığını görmədiyi axın üçün cavabla qarşılaşır və onu atır. Müştəri isə heç nə görmür.

Bunu iki dəyişiklik düzəldir: daxil olan bağlantının daxili qurğuya çatması üçün təyinat tərcüməsi və həmin qurğunun cavabının marşrutlaşdırıcının özündən gəldiyi görünməsi üçün mənbə tərcüməsi.

Marşrutlaşdırıcı proqram təminatında adi ifadə port yönləndirməsini WAN tərəfinə bərkidən, marşrutlaşdırıcının öz trafiki isə tuneldən gedən siyasət qaydasıdır. Mənbə tərcüməsi olmadan bu cavab xarici müştəriyə ünvanlanır və daxili qurğunun ona heç bir marşrutu yoxdur. Üç şeyi ayrı-ayrılıqda sınayın, çünki onlar fərqli səbəblərdən uğursuz olur: xaricdən gələn bağlantı, hostun özünün başlatdığı bağlantı və ad axtarışı.