Pam nad yw cyfeiriad eich twnnel VPN yn agor porth fewnol
Mae cyfeiriad twnnel yn adnabod eich cleient i gymheiriaid sy'n gallu llwybro ato, ac nid yw byth yn creu gwrandäwr. Gwiriwch y rhwymiad, y llwybr dychwelyd, yna'r polisi.
Cysylltwch â VPN y swyddfa, cychwynnwch wasanaeth bach ar borth 8443, anfonwch gyfeiriad y twnnel at gydweithiwr, a gwyliwch y cysylltiad yn methu tra bo'r cleient yn dal i adrodd ei fod wedi cysylltu. Nid oes dim wedi torri yn y twnnel: rhoddwyd y cyfeiriad, mae'r sesiwn ar waith, ac nid yw'r pecynnau a fyddai'n cario'r ateb yn cael eu derbyn o gwbl. Ewch drwy'r tri gwiriad isod yn eu trefn a stopiwch ar yr un sy'n methu, oherwydd mae gan bob un gywiriad gwahanol a dim ond un ohonynt yn ymwneud â'r VPN.
Dechreuwch gyda ble mae'r soced wedi'i rwymo mewn gwirionedd
Cyn i unrhyw beth lwybro, rhaid i rywbeth wrando ar gyfeiriad y gall y galwr ei gyrraedd. Gweinyddion datblygu yw'r troseddwr arferol, oherwydd mae llawer ohonynt yn rhwymo i loopback yn ddiofyn ac yn derbyn yn unig gysylltiadau sy'n tarddu ar yr un peiriant. Nid yw cyfeiriad twnnel yn newid y rhwymiad hwnnw, a bydd y system weithredu'n gwrthod y cysylltiad ymhell cyn bod VPN yn rhan o'r mater.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Darllenwch y golofn cyfeiriad lleol yn hytrach na'r cyflwr. Mae 127.0.0.1:8443 yn golygu loopback yn unig, a'r cywiriad yw rhwymo i 0.0.0.0 neu i gyfeiriad y twnnel ei hun. Mae 0.0.0.0:8443 yn derbyn ar bob rhyngwyneb, sy'n lletach nag y mae'r rhan fwyaf o bobl yn bwriadu pan fo gan y peiriant gyfeiriad cyhoeddus hefyd; 10.64.7.15:8443 yw'r fersiwn gul sy'n gwrando dim ond lle gall y cydweithiwr gyrraedd. Sylwch ar enw'r broses yn yr un allbwn, oherwydd mae achos crwydrol o brawf cynharach yn rheswm cyffredin dros i'r porth edrych yn agored ac ateb â chynnwys anghywir.
Yna gofynnwch a all unrhyw beth lwybro i'r cyfeiriad hwnnw
Nid yw cyfeiriad twnnel yn ystyrlon ond i gymheiriaid sydd wedi'u ffurfweddu i anfon y rhagddodiad hwnnw i'r twnnel. Mae gan beiriant y cydweithiwr ei dabl ei hun, ac oni bai bod ganddo lwybr ar gyfer is-rwydwaith y twnnel, mae'r pecyn yn mynd i'r porth diofyn ac yn marw mewn man nad oes ganddo unrhyw syniad bod y cyfeiriad yn bodoli. Cwestiwn llwybro ar ochr y galwr yw hwn, nid caniatâd ar eich ochr chi.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Mae'r gweinydd rhwng y ddau gleient yr un mor bwysig. Yn y cynllun mynediad o bell arferol, mae pob cleient yn agor cysylltiad allanol i'r porth ac mae'r porth yn cadw cyflwr y llifau hynny, felly daw'r atebion yn ôl ar lwybr y mae'n ei adnabod yn barod. Mae cysylltiad o un cleient i'r llall yn llif newydd y mae'n rhaid i'r porth ei dderbyn a'i anfon ymlaen, ac mae llawer o ddefnyddiadau'n ei analluogi'n fwriadol i gadw cleientiaid ar wahân i'w gilydd. Mae gwasanaethau VPN defnyddwyr fel rheol yn ynysu yn ddiofyn; mae pyrth corfforaethol weithiau'n caniatáu hynny fesul grŵp.
Gwiriwch y cyfeiriad cyn newid unrhyw beth ar y gwesteiwr. Os yw cyfeiriad y twnnel yn ateb o'r porth ei hun ond nid oddi wrth gymheiriaid, y gosodiad cleient-i-gleient ar y porth yw'r gwahaniaeth, ac ni fydd unrhyw faint o olygu'r mur tân lleol yn cymryd ei le.
Yn olaf, dewch o hyd i'r polisi sy'n caniatáu'r llif
Mae tair haen bolisi rhwng pecyn wedi'i lwybro a gwasanaeth sy'n ateb: penderfyniad anfon ymlaen y gweinydd VPN, mur tân y gwesteiwr, ac unrhyw grŵp diogelwch cwmwl o flaen y gweinydd. Rhaid i'r tair gytuno, ac maent yn methu mewn ffyrdd gwahanol, a dyna pam mae'r symptom yn y tabl uchod yn fwy defnyddiol na'r neges gwall yn y porwr.
Y mur tân ar y gwesteiwr yw'r haen y mae pobl yn ei hanghofio ar ôl rhwymiad llwyddiannus, oherwydd nid yw rheol sy'n caniatáu'r porth ar rwydwaith lleol yn ei ganiatáu'n awtomatig ar rwydwaith y twnnel. Mae rheolau sydd wedi'u cyfyngu i ryngwyneb yn gynllun cywir ac hefyd yn achos arferol gwasanaeth sy'n gweithio o'r swyddfa ac nid o gartref. Darllenwch gwmpas y rheol, nid rhif ei phorth.
Mae hidlo cyflwr yn esbonio'r achos gwrthgyferbyniol. Mae cysylltiad allanol o'ch gliniadur yn creu cyflwr, ac mae atebion iddo'n cael eu derbyn heb reol fewnol. Mae cysylltiad y cydweithiwr yn llif hollol newydd heb gyflwr y tu ôl iddo, felly mae angen caniatâd penodol. Yr anghymesuredd hwnnw yw'r rheswm cyfan pam nad yw sesiwn porwr sy'n gweithio ar eich peiriant eich hun yn dweud dim am a yw'r gwasanaeth yn cyrraeddadwy o'r tu allan.
Pan fydd un gwiriad yn methu, newidiwch y cynllun yn hytrach na'r twnnel
Os mai'r gofyniad yw i gydweithiwr agor eich gwasanaeth lleol, yr ateb onest fel rheol yw mecanwaith a adeiladwyd ar gyfer mynediad i mewn. Twnnel SSH gwrthdro yw'r lleiaf: mae eich peiriant yn cysylltu allan i westeiwr y gall y cydweithiwr ei gyrraedd yn barod, ac mae'r gwrandäwr yn bodoli ar y gwesteiwr hwnnw.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Mae angen GatewayPorts clientspecified ar y trosglwyddydd yng nghyfluniad ei weinydd SSH, fel arall mae'r gwrandäwr a anfonwyd ymlaen yn rhwymo i loopback ar y trosglwyddydd ac mae'r cydweithiwr yn taro yr un gwrthodiad â chynt. Ar gyfer unrhyw beth sy'n para'n hwy nag un prynhawn, cydbwyso llwyth neu ingress â gwiriad iechyd a thystysgrif ar gyfer yr enw a gyhoeddwyd yw'r offeryn gwell, a thwnnel safle-i-safle â llwybrau ar gyfer y ddau is-rwydwaith yw'r ateb cywir pan fo dau rwydwaith angen siarad go iawn.
Mae pob un o'r cynlluniau hynny'n gwneud yr amlygiad yn eglur, a dyna'r pwynt. Mae VPN yn symud pecynnau rhwng rhwydweithiau yr oeddech eisoes wedi'ch awdurdodi i'w defnyddio; nid yw'n cyhoeddi gwasanaeth ac nid yw'n troi gliniadur yn westeiwr sy'n wynebu'r rhyngrwyd. Y dasg yw penderfynu pa un o'r tair haen i'w newid, ac anaml y mae'r twnnel yn un ohonynt.