Mae'r porth yn cynnal ei dudalen weinyddol ei hun: cyfeiriad mewnol neu gyhoeddus

Mae tudalen weinyddol yn ateb o ffôn ar ddata symudol ac yn amseru allan o liniadur sydd wedi ymuno â'r VPN. Nid oes dim o'i le ar y tiwnel, oherwydd ni chaiff y cais byth fynd i mewn iddo. Mae enw'r gwesteiwr yn datrys i gyfeiriad cyhoeddus y porth, ac mae'r cyfeiriad hwnnw ar gael dim ond o'r tu allan i'r tiwnel y mae'n ei derfynu. Mae trwsio hyn yn golygu rhoi mynediad preifat i'r gwasanaeth yn hytrach na symud y pen draw allanol o gwmpas.

Mae'r dudalen yn llwytho o'r tu allan ac nid drwy'r tiwnel

Mae dau gais gwahanol yn cael eu cymharu. O ddata symudol mae'r porwr yn cyrraedd y cyfeiriad cyhoeddus yn uniongyrchol. O fewn y tiwnel mae'r un enw yn datrys i'r un cyfeiriad cyhoeddus, ac mae'r pecyn bellach yn gorfod gadael drwy'r tiwnel i gyrraedd cyfeiriad ar ochr bell y tiwnel ei hun. Yr un enw, yr un cyfeiriad, dau safle hollol wahanol.

Mae llwybr cyrchfan yn dewis cyfeiriad, nid porth. Nid oes dim yn y tabl llwybro yn gwybod mai porth 443 yw ar gyfer gweinyddu a phorth 1194 yw'r cludiant, felly mae'r ddau yn cael eu trin fel yr un gyrchfan.

Dyna pam mae'r dudalen weithiau'n gweithio ac weithiau ddim, yn dibynnu pa enw a pha rwydwaith a ddefnyddiodd y cleient. Mater llwybr yw hwn yn hytrach na mater dilysu. Mae'r ddau gleient yn dilysu'n berffaith dda.

Cadwch y pen draw allanol yn gyrraeddadwy

Mae proffiliau tiwnel llawn angen llwybr eithriad ar gyfer pen draw'r VPN, ac mae opsiwn redirect-gateway OpenVPN yn dogfennu hynny'n union: mae'r pen draw pell yn cadw llwybr drwy'r porth oedd yn bodoli eisoes fel nad yw'r tiwnel yn llwybro i mewn iddo'i hun. Tynnwch yr eithriad hwnnw ac mae'r cludiant amgryptiedig yn dilyn y tiwnel, sy'n gorffen y sesiwn mewn dolen. Yr eithriad hwnnw yw'r rheswm mae cyfeiriad y pen draw yn aros yn gyrraeddadwy o fewn y tiwnel.

Y canlyniad yw bod y cyfeiriad cyhoeddus yn aros yn gyrraeddadwy o'r cleient, a dyna hefyd pam y gall cais porwr i'r cyfeiriad hwnnw ddilyn yr un eithriad a gadael heb fynd i mewn i'r tiwnel. Mae'r eithriad yn gwneud ei waith, a'r enw sy'n gwneud y difrod.

Darllenwch benderfyniad y llwybr yn hytrach na'r rhestr rhyngwynebau cyn newid unrhyw beth. Mae'r gorchmynion isod yn argraffu'r penderfyniad yn hytrach na'r rhestr eiddo. Rhedwch nhw o'r cleient a fethodd.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Os yw'r chwiliad yn dangos llwybr y pen draw drwy'r porth ffisegol, mae'r ymddygiad yn gywir ac mae'r dudalen weinyddol yn syml yn cael ei hanfon ar hyd y llwybr anghywir. Dyna'r pwynt lle mae datrys enwau yn dod yn ateb.

Rhowch enw preifat i'r gwasanaeth

Mae'r gwasanaeth angen enw sy'n datrys i gyfeiriad y porth y tu mewn i'r tiwnel, tra'n cadw'r ystyron tystysgrif ac enw gwesteiwr y mae'r rhaglen yn ei ddisgwyl. Cofnod parth preifat ar gyfer yr enw gweinyddol yw'r ateb arferol, ac mae'n gadael yr enw cludiant yn gyfan.

Peidiwch ag ailgyfeirio'r enw cludiant i'r cyfeiriad mewol, oherwydd byddai sefydlu'r tiwnel nesaf wedyn yn ceisio cyrraedd cyfeiriad nad yw'n bodoli ond y tu mewn i diwnel. Mae'r camgymeriad hwnnw'n cynhyrchu VPN sy'n gweithio unwaith yn union.

Gwiriwch y ddwy deulu cyfeiriad hefyd, oherwydd gall cofnod AAAA a adawyd ar ôl anfon y porwr i rywle na chwmpasodd y cynllun preifat erioed.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Cydweddwch y polisi â lle mae'r broses yn rhedeg

Cyrhaeddir proses frodorol sy'n gwrando ar y porth drwy lwybr y mewnbwn lleol, felly'r gadwyn fewnbwn a rhwyno'r soced sy'n penderfynu a dderbynnir y cais. Nid yw rheolau anfon ymlaen nac anfon ymlaen IP yn gwneud i wrandäwr lleol ateb. Caniatéwch ffynonellau'r tiwnel yn y polisi mewnbwn a chadarnhewch fod y broses wedi'i rhwymo i gyfeiriad y gall y tiwnel ei gyrraedd.

Mae cynhwysydd a gyhoeddir ar borth gwesteiwr yn dilyn llwybr gwahanol, oherwydd mae'r pecyn yn cael ei gyfieithu ar gyfer cyrchfan a'i anfon ymlaen. Mae'r cais hwnnw'n cyfarfod polisi anfon ymlaen y gwesteiwr a rheolau Docker ei hun, a dyna pam y gall gwrandäwr brodorol sy'n gweithio gydfodoli â chynhwysydd sy'n gwrthod yr un porth.

Mae trefn cychwyn yn bwysig yn y ddau achos, oherwydd mae rhwyno i gyfeiriad sy'n ymddangos dim ond ar ôl i'r tiwnel godi yn methu'n dawel wrth gychwyn.

Gwiriwch fynediad preifat a llwybr cyhoeddus a wrthodwyd

Gwnewch gais enwedig newydd o gleient awdurdodedig gyda gwiriadau hunaniaeth y rhaglen ei hun yn gyfan. Yna rhowch gynnig ar yr un gwasanaeth o'r tu allan i'r tiwnel a chadarnhewch nad yw'n ateb. Mae enw preifat yn gyfleustra yn hytrach na chyfyngiad, ac mae gwrandäwr sydd dal wedi'i rwymo i'r cyfeiriad cyhoeddus yn dal yn agored. Y gwiriad olaf hwnnw yw'r un mae'r rhan fwyaf o adolygiadau'n ei hepgor.

Darllenwch y rhwymiadau a chyflwr y hidlydd yn hytrach nag enw'r gwesteiwr a roddwyd i ddefnyddwyr. Mae datguddiad yn briodwedd o'r soced yn hytrach nag o'r enw. Mae'r gwahaniaeth hwnnw'n goroesi pob newid DNS.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Pan fydd y cais mewol yn dychwelyd y dudalen a'r cais allanol yn amseru allan, mae gan y gwasanaeth un llwybr preifat bwriadol ac mae'r cludiant yn aros yn gyrraeddadwy. Pan fydd y cais allanol yn dal i ateb, mae angen culhau'r gwrandäwr neu gofnod cynhwysydd a gyhoeddwyd cyn i unrhyw un ddisgrifio'r gwasanaeth fel un mewol yn unig.