A yw cleient VPN ar eich gweinydd gwe yn torri ei atebion?

Mae'r safle'n llwytho o liniadur ar yr un rhwydwaith ac yn amseru allan o bob man arall, ac mae'r gwesteiwr hefyd yn rhedeg cleient VPN ar gyfer ei draffig allan ei hun. Mae'r cyfuniad hwnnw'n cynhyrchu methiant penodol: mae'r cysylltiad i mewn yn cyrraedd, mae'r ateb yn gadael ar y llwybr anghywir, ac nid yw'r cleient y tu allan byth yn gweld ateb. Mae'r ddau hanner i'w gweld yn yr un cipiad pecynnau, felly'r drefn digwyddiadau yw'r rhan sy'n werth ei darllen.

Mae rheol llwybro seiliedig ar ffynhonnell yn aml yn trwsio'r symptom. Mae hefyd fel arfer yn eithrio mwy o draffig na'r safle a'i cymhellodd, a dyna'r rhan sy'n werth ei deall cyn i chi gadw'r rheol.

Y symptom: mae'n ateb yn lleol ac nid o'r tu allan

Y tu mewn i'r rhwydwaith nid oes rhaid i'r ateb groesi'r twnnel, felly mae'r dudalen yn llwytho ac mae'r gwasanaeth yn edrych yn iach. O'r tu allan mae'r cais yn cyrraedd y gwesteiwr ac mae'r ateb yn cael ei lwybro i'r VPN, lle nad oes gan y pen pell unrhyw reswm i'w dderbyn. Mae'r porwr yn gweld goramser yn hytrach na gwrthodiad, sef arwydd o lwybr unffordd yn hytrach na phorth caeedig.

Cadarnhewch y siâp cyn i chi newid llwybro: mae'r gwrandawr i fyny, mae'r cais lleol yn llwyddo, ac nid yw'r cais allanol yn cynhyrchu unrhyw ateb o gwbl. Mae'r tri arsylwad hynny gyda'i gilydd yn pwyntio at y llwybr dychwelyd yn hytrach nag at ffurfweddiad y gweinydd gwe. Mae anghymesuredd mor lân yn fwy defnyddiol nag unrhyw linell log, oherwydd mae'n diystyru'r gwrandawr cyn i chi ddarllen un neges gwall.

Cadwch lwybr gweinyddu annibynnol ar agor wrth i chi weithio. Mae rheol sy'n torri eich sesiwn SSH eich hun yn troi atgyweiriad o ddeng munud yn ymweliad corfforol.

Beth mae detholydd ffynhonnell yn ei baru mewn gwirionedd

Yn llwybro polisi Linux, mae rheol fel from 192.168.50.2 yn paru pecynnau y mae eu ffynhonnell yn y cyfeiriad hwnnw. Nid yw'n codio'r ffaith bod y pecyn yn parhau sgwrs a ddaeth i mewn drwy'r llwybrydd cartref, ac nid yw'n gwybod pa broses a'i creodd. Mae'r cyfeiriad yn y darn hwnnw'n enghreifftiol; rhoddwch y cyfeiriad y mae eich gwesteiwr yn ei ddefnyddio mewn gwirionedd yn ei le. Triniwch y llinell fel datganiad am gyfeiriadau a dim arall.

Os yw'r tabl a ddewiswyd yn darparu llwybr diofyn cyffredin, gall pob pecyn sy'n cario'r ffynhonnell honno gymryd yr un eithriad. Mae gwasanaeth arall wedi'i rwymo i'r un cyfeiriad yn ei etifeddu, ac mae cymhwysiad sy'n rhwymo'n fwriadol i'r cyfeiriad hwnnw yn ei etifeddu hefyd. Mae'r cyfeirlyfr rheolau polisi yn rhestru ffynhonnell, cyrchfan, protocol, porth, marc a blaenoriaeth fel detholwyr ar wahân, sy'n ein hatgoffa mai'r ffynhonnell yn unig yw'r un fwyaf di-grefft sydd ar gael.

Blaenoriaeth sy'n penderfynu'r canlyniad. Mae chwiliadau'n rhedeg mewn trefn a gall y tabl cyntaf sy'n cynhyrchu canlyniad ddod â'r chwiliad i ben, felly gall rheol a roddir yn rhy gynnar guddio llwybr mwy penodol y byddai tabl diweddarach wedi'i ddarparu. Darllenwch y rhestr gyfan wedi'i threfnu yn hytrach na'r un llinell a ychwanegoch. Nid yw rheol nad yw byth yn paru'n costio dim, tra bod un sy'n paru'n rhy gynnar yn newid popeth y tu ôl iddi yn ddistaw.

Gwiriwch y llwybr dychwelyd a'r traffig na fwriedoch

Darllenwch y rheolau a'r tablau, yna gofynnwch i'r cnewyllyn pa lwybr y byddai pâr penodol o ffynhonnell a chyrchfan yn ei gymryd. Nid yw profi o'r gwesteiwr ei hun yr un fath â phrofi o'r tu allan, felly gwnewch y ddau.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Yna derbyniwch gysylltiad allanol newydd ac, ar wahân, gais sy'n rhaid iddo adael drwy'r VPN o hyd. Os yw'r ail un nawr yn gadael yn uniongyrchol, mae'r eithriad yn lletach na'r broblem yr oeddech yn ei datrys, a'r prawf sy'n bwysig yw'r un nad oeddech yn bwriadu ei newid.

Nid yw gwiriad cyfeiriad cyhoeddus mewn porwr yn adrodd dim ond y ceisiadau a wnaeth y porwr hwnnw. Nid yw'n dweud dim am atebion y gweinydd gwe, am ddewis ffynhonnell cymhwysiad lleol arall, nac am yr hyn sy'n digwydd i draffig rheoli ar ôl yr ailgysylltiad VPN nesaf.

Penderfynwch pa mor gul y gall yr eithriad fod

Mae dau ddyluniad yn amddiffynadwy ac fe ddylid eu dewis yn fwriadol. Os yw'r gwesteiwr yn bodoli i gyhoeddi'r gwasanaeth hwn ac mae ei draffig allan yn ddibwys, mae cyfeiriad lleol pwrpasol gyda pholisi WAN yn unig yn drefniant rhesymol ar yr amod eich bod yn derbyn yr holl gwmpas. Os mai dim ond cysylltiadau i mewn penodol ddylai fod yn gymwys, mae dewis cyfeiriad yn rhy fras ac mae dyluniad sy'n ymwybodol o gysylltiadau yn perthyn o'i flaen.

Cofnodwch y contract yr ydych yn dibynnu arno: y mapio cyhoeddus, y cyfeiriad gwesteiwr y mae'r cais yn cael ei ddanfon iddo, a'r llwybr y disgwylir i'r ateb ei gymryd. Mae gwasanaeth i mewn a gyhoeddir drwy ddarparwr VPN yn gontract gwahanol i un a gyhoeddir drwy lwybrydd cartref, ac mae eithriad a gopïwyd o un enghraifft yn aml yn anghywir ar gyfer y llall.

Cadwch y polisi yn y gydran sy'n berchen ar lwybro yn hytrach na phastio gorchymyn i ffeil gychwyn. Mae trefn rheolau, glanhau ar ôl newid rhwydwaith ac ailchwarae ar ôl ailgychwyn i gyd yn gorfod goroesi, ac mae ffeil gychwyn heb ei phrofi fel arfer yn methu ar yr union funud nad ydych yn gwylio. Gorffennwch gyda'r canlyniad derbyn y gallwch ei amddiffyn: un safle cyhoeddedig wedi'i adfer ac un llif di-gysylltiedig yn ddigyfnewid.