Pam fod gweinydd y tu ôl i gleient VPN yn ateb drwy'r twnnel

Mae cysylltiadau sy'n dod i mewn i westeiwr sy'n rhedeg cleient VPN hefyd yn methu mewn ffordd benodol iawn: daw'r ysgwyd llaw i mewn, mae'r daemon yn ateb, ac nid yw'r cleient yn cael dim yn ôl. Nid oes dim yn blocio'r porth. Aeth yr ateb allan drwy'r twnnel, oherwydd y twnnel sy'n berchen ar y llwybr diofyn a bod y cnewyllyn yn llwybro atebion yn ôl cyrchfan yn hytrach nag yn ôl cof o ble y daeth y cais. Mae'r daemon yn iawn ac mae'r porth yn agored.

Llwybrir yr ateb, nid ei gofio

Mae cleient VPN sy'n gosod llwybr diofyn yn ychwanegu cofnod sy'n rhagori ar giât y LAN, naill ai drwy fetrig neu drwy rannu'r gofod yn ddwy hanner mwy penodol. Mae pecynnau allan nawr yn dewis rhyngwyneb y twnnel. Nid yw'r cnewyllyn byth yn gofyn o ble y daeth y pecyn sy'n cael ei ateb yn wreiddiol. Mae'r un hepgoriad hwnnw yn esbonio pob symptom sy'n dilyn.

Mae'r cyfeiriad ymlaen yn cael ei lwybro yn ôl cyrchfan, ac felly hefyd y cyfeiriad cefn. Mae'r ateb wedi'i gyfeirio at gleient cyhoeddus, y bydd y twnnel yn falch o'i gario. Mae'r pen pell yn derbyn pecyn nad yw'n berchen ar ei ffynhonnell, yn ei daflu, ac mae'r cleient gwreiddiol yn aros nes bod yr amser yn dod i ben.

Gall hidlo llym y llwybr cefn ollwng y pecyn sy'n dod i mewn cyn i'r daemon ei ddarllen o gwbl. Edrychwch ar y rhifydd hwnnw'n gyntaf, oherwydd mae gollyngiad hidlydd a chamgymeriad llwybro yn edrych yn union yr un fath o'r tu allan.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Mae'r gorchymyn cyntaf yn dangos pa lwybr diofyn sy'n ennill ar hyn o bryd. Mae'r ail yn adrodd a yw hidlo llym yn berthnasol yn fyd-eang neu fesul rhyngwyneb, ac mae'r trydydd yn dangos unrhyw reol cadwyn anfon y gallai fod yn gysylltiedig.

Tair ffordd i gadw'r llwybr dychwelyd

Eithrio cyrchfan y gwasanaeth o'r twnnel yw'r opsiwn culaf. Mae llwybr gwesteiwr wedi'i anelu at giât y LAN, ynghyd â daemon wedi'i rwymo i'r cyfeiriad corfforol yn lle pob cyfeiriad, yn cadw'r un fflws hwnnw y tu allan i'r twnnel. Mae'r newid yn lleol ac yn hawdd ei wrthdroi.

Llwybro polisi yw'r ateb cyffredinol. Mae rheol sy'n seiliedig ar gyfeiriad y ffynhonnell neu ar farc mur gwarchod yn dewis tabl y mae ei lwybr diofyn yn pwyntio at giât y WAN, tra bod cysylltiadau'r gwesteiwr ei hun yn parhau i ddefnyddio'r twnnel. Cadwch y blaenoriaeth yn eglur fel na ellir cysgodi'r rheol yn ddiweddarach.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Mae'r ddau orchymyn cyntaf yn adeiladu'r llwybr amgen ar gyfer atebion sy'n tarddu o'r cyfeiriad cyhoeddus. Mae'r trydydd yn gofyn i'r cnewyllyn pa lwybr y byddai'r union ffynhonnell a chyrchfan hwnnw'n ei gymryd, a dyna sut rydych yn cadarnhau bod gan y rheol unrhyw effaith.

Cyfieithu ffynhonnell yw'r trydydd opsiwn a'r unig un sy'n goroesi llwybrydd sy'n gwneud NAT o flaen y gwasanaeth yn barod. Rhaid i'r ateb ddychwelyd i'r llwybrydd hwnnw, ac mae masgio i ryngwyneb y WAN yn cyflawni hynny tra'n cuddio'r cleient rhag logiau'r gwasanaeth. Mae disodli'r llwybr diofyn â llaw ar ôl cysylltu yn ddiagnosteg, oherwydd mae'r cleient yn ailysgrifennu'r tabl ar yr ailgysylltiad nesaf.

Pan fo'r blwch hefyd yn llwybro ar gyfer LAN

Mae'r un methiant yn ymddangos un naid ymhellach pan fo'r gwesteiwr yn llwybro ar gyfer dyfeisiau y tu ôl iddo. Mae cysylltiad sy'n dod i mewn yn cael ei anfon ymlaen i ddyfais fewnol mai'r twnnel yw ei hunig lwybr dychwelyd, ac mae'r ateb yn cyrraedd y cleient allanol o gyfeiriad y darparwr. Mae'r ddyfais fewnol yn gweithio'n gywir drwy'r amser.

Yna mae olrhain cysylltiadau yn gweld ateb ar gyfer fflws na chofnododd erioed ac yn ei ollwng. Mae cyfieithu cyrchfan yn danfon y cysylltiad sy'n dod i mewn i'r ddyfais, ac mae cyfieithu ffynhonnell yn gwneud i'r ateb ymddangos fel pe bai'n dod o'r llwybrydd ei hun.

Mae llwybr polisi sy'n cadw'r porth a anfonir ymlaen ar y WAN tra bod traffig y llwybrydd ei hun yn defnyddio'r twnnel yn gyfystyr glanach. Heb gyfieithu ffynhonnell mae'r ateb wedi'i gyfeirio at y cleient allanol, ac nid oes gan y ddyfais fewnol unrhyw lwybr i'r cyfeiriad hwnnw o gwbl.

Tair prawf sy'n gwahanu'r achosion

Rhedwch dair prawf: cysylltiad i mewn i'r blwch o'r rhyngrwyd, cysylltiad allan ohono i westeiwr cyhoeddus, a chwiliad enw. Pan fydd y ddau gyntaf yn anghytuno, y llwybr dychwelyd sydd ar fai. Pan fydd enwau'n methu'r ddwy ffordd, mae'r datryswr yn fai gwahanol sy'n rhannu'r twnnel yn unig.

Trwsiwch y cwestiwn llwybro yn gyntaf, yna edrychwch ar enwau. Cymysgu'r ddau yw'r ffordd y mae gweinydd sy'n gweithio yn cael ei feio am ddatryswr wedi torri.

Cofnodwch pa ryngwyneb y mae'r eithriad yn ei enwi a chadwch y ffurfweddiad o dan reolaeth fersiwn. Mae rheol a ysgrifennwyd yn erbyn rhyngwyneb sy'n cael ei ail-enwi ar ôl uwchraddiad yn pasio heddiw ac yn methu ar ôl yr ailgychwyn nesaf.