Mae’r gweinydd gwe yn diflannu pan fydd y cleient VPN yn cysylltu

Nid yw gwasanaeth sy’n diflannu’r eiliad y bydd cleient VPN yn cysylltu fel arfer yn cael ei rwystro, mae’n ateb drwy’r rhyngwyneb anghywir. Mae’r cais yn cyrraedd y cerdyn rhwydwaith ffisegol, mae’r daemon yn ysgrifennu ateb, ac mae’r tabl llwybro yn trosglwyddo’r ateb hwnnw i’r twnnel, gan fod y twnnel wedi cymryd y llwybr diofyn. Nid yw’r cleient pell byth yn gweld ateb i gysylltiad a agorodd, felly mae’n aros ac yna’n adrodd am derfyn amser. Nid oes unrhyw reol wal dân yn rhan o’r dilyniant hwnnw.

Y Symptom: ceisiadau i mewn, atebion allan drwy’r drws anghywir

Yr arwydd yw cysylltiad sy’n dod i mewn sy’n methu tra bo popeth arall ar y gwesteiwr yn gweithio. Arwydd arall yw gwesteiwr y gellir ei gyrraedd o’r LAN ond nid o’r rhyngrwyd, neu un sy’n gweithio nes bydd y twnnel yn ailgysylltu ac yna’n stopio. Ym mhob achos roedd y cyfeiriad ymlaen yn gweithio a’r cyfeiriad dychwelyd heb wneud, sy’n awgrymu anghymesuredd llwybro yn hytrach na pholisi.

Cadarnhewch hyn drwy wylio i ble mae’r ateb yn mynd, nid drwy wylio’r cais yn cyrraedd.

Cipiwch ar y rhyngwyneb ffisegol ac ar ddyfais y twnnel ar yr un pryd. Os yw’r cais yn ymddangos ar y rhyngwyneb ffisegol a’r ateb ar y twnnel, mae’r diagnosis drosodd. Mae ateb nad yw’n ymddangos yn unman yn golygu na dderbyniodd y gwasanaeth y cysylltiad erioed, sy’n ymchwiliad ar wahân ag achos ar wahân.

Dau lwybr diofyn ac un penderfyniad llwybro

Mae cleient sy’n gosod llwybr diofyn yn ychwanegu ail gofnod â metrig gwell na’r giât LAN. Mae rhai cleientiaid yn gosod dau lwybr hanner-ystod yn lle hynny, sy’n cwmpasu’r un gofod yn fwy penodol ac yn ennill yr edrychiad yn yr un modd. Mae’r naill dechneg neu’r llall yn gadael i becynnau allan arferol ddewis rhyngwyneb y twnnel.

Gan y gyrchfan yn unig y gwneir y dewisiad hwnnw. Nid yw’r cnewyllyn yn gofyn o ble y daeth pecyn oni bai bod rheol bolisi yn dweud wrtho. Felly mae’r ateb i gyfeiriad cleient cyhoeddus yn cael ei drosglwyddo i’r twnnel, ac mae ei ben pell yn derbyn pecyn â chyfeiriad ffynhonnell nad yw’n berchen arno ac yn ei daflu neu’n ei anfon ymlaen i rywle di-fudd. Ar Linux gall hidlo llwybr cefn llym hefyd ollwng y cais gwreiddiol cyn i’ch gwasanaeth ei weld o gwbl, sy’n edrych yn union yr un fath o’r tu allan. Mae’r ddau symptom yn dod o’r un cysylltiad coll rhwng ffrwd sy’n dod i mewn a’i hateb.

Mae’r twnnel yn ymddwyn yn gywir drwy’r amser. Dywedwyd wrtho i gario’r llwybr diofyn ac mae’n gwneud yn union hynny.

Trwsiwch y llwybr dychwelyd heb dorri’r twnnel

Mae tri math gwydn o drwsio yn bodoli, ac mae’r dewis yn dibynnu ar faint o draffig y gwesteiwr ei hun ddylai aros y tu mewn i’r twnnel. Eithrio cyrchfan neu borth y gwasanaeth yw’r newid lleiaf. Llwybro polisi yn ôl ffynhonnell neu farc yw’r mwyaf manwl. Cyfieithu ffynhonnell yw’r mwyaf bras a’r hawsaf i’w esbonio ddwy flynedd yn ddiweddarach.

Dewiswch yn ôl yr hyn y mae’n rhaid i’r gwesteiwr ei wneud, nid yn ôl pa ddarn a gawsoch gyntaf.

Mae eithrio cyrchfan yn addas ar gyfer gwasanaeth â chyfeiriad cyhoeddus sefydlog, ac mae rhwymo’r daemon i’r cyfeiriad ffisegol yn hytrach nag i bob cyfeiriad yn gwneud yr eithriad hwnnw’n fwy diogel. Mae rheol bolisi sy’n dewis tabl yn ôl ffynhonnell yn cadw cysylltiadau’r gwesteiwr ei hun y tu mewn i’r twnnel tra’n dychwelyd atebion y gwasanaeth drwy giât WAN. Mae mygu atebion i’r rhyngwyneb WAN yn cyrraedd yr un llwybr ar gost cuddio cyfeiriad y cleient rhag cofnodion y gwasanaeth. Mae newid llwybr diofyn yn fyrbwyll yn ddiagnosis ac nid yn ffurfweddiad, oherwydd mae’r cleient yn ailysgrifennu llwybrau ar bob ailgysylltiad.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Pan fydd y gwesteiwr hefyd yn llwybro ar gyfer LAN y tu ôl iddo

Un naid ymhellach allan, mae’r un anghymesuredd yn dychwelyd gyda mwy o rannau symudol. Mae traffig yn cyrraedd y llwybrydd o’r rhyngrwyd, yn cael ei anfon ymlaen i ddyfais fewnol, a’r unig lwybr yn ôl i’r ddyfais honno yw’r twnnel, felly mae’r ateb yn cyrraedd y cleient gwreiddiol o gyfeiriad y darparwr ei hun. Yna mae olrhain cysylltiadau yn cyfarfod ag ateb ar gyfer ffrwd na welodd yn dechrau, ac yn ei daflu. Yn y cyfamser, nid yw’r cleient yn gweld dim o gwbl.

Mae dau newid yn ei drwsio: cyfieithu cyrchfan fel bod y cysylltiad sy’n dod i mewn yn cyrraedd y ddyfais fewnol, a chyfieithu ffynhonnell fel bod ateb y ddyfais honno’n ymddangos fel petai’n dod o’r llwybrydd ei hun.

Ar firmware llwybrydd, yr ymadrodd arferol yw rheol bolisi sy’n pinio’r blaenlwybro porth i ochr y WAN tra bo traffig y llwybrydd ei hun yn reidio’r twnnel. Heb gyfieithu ffynhonnell, mae’r ateb hwnnw wedi’i gyfeirio at y cleient allanol ac nid oes gan y ddyfais fewnol lwybr ato o gwbl. Profwch dri pheth ar wahân, oherwydd maent yn methu am wahanol resymau: cysylltiad sy’n cyrraedd o’r tu allan, un y mae’r gwesteiwr ei hun yn ei ddechrau, a chwaeliad enw.