Pam nad yw 403 o safle VPN yn fethiant dirprwy

Mae defnyddwyr yn datgysylltu'r VPN, yn taro 403 ar safle mewnol, ac yn adrodd bod y dirprwy wedi torri. Gall tri pheth ar wahân gynhyrchu'r dudalen honno: gwrthododd y tarddiad y cais, gwrthododd y dirprwy ymlaen agor y twnnel, neu mynnodd y dirprwy ei gymwysterau ei hun. Mae pob un ohonynt yn ateb cywir i gwestiwn gwahanol, ac mae eu gwastatáu i un dudalen fethiant gyffredin yn dinistrio'r unig dystiolaeth sydd gennych. Trefnwch y gwrthodiad yn ôl y gydran a'i gwnaeth, yna cymharwch y llwybr rhwydwaith y mae pob cydran yn ei ddefnyddio mewn gwirionedd.

Enwch y gydran a gynhyrchodd y 403

Mae cod statws HTTP yn perthyn i'r parti a'i hanfonodd. Pan fydd y tarddiad yn dychwelyd 403, mae wedi dosrannu'r cais a phenderfynu efallai nad yw'r galwr yn berchen ar yr adnodd, sef ateb awdurdodi yn hytrach na phroblem gludiant. Pan fydd dirprwy ymlaen yn ateb 403 i CONNECT, mae wedi gwrthod adeiladu'r twnnel o gwbl, ac ni chysylltwyd â dim byd i fyny'r afon. Pan fydd yn ateb 407, mae am gael ei gymwysterau ei hun, nad oes unrhyw beth â wnelo nhw â mewngofnodi'r cymhwysiad.

Mae RFC 9110 yn diffinio'r rolau hyn, gan gynnwys yr her sy'n benodol i ddirprwy. Darllenwch statws y mateb ei hun ac unrhyw bennawd Proxy-Authenticate cyn darllen y corff, oherwydd mae tudalen gwall HTML gyfeillgar fel arfer yn cuddio pa gydran a'i hysgrifennodd.

Yr hyn y mae twnnel CONNECT yn ei guddio rhag ailbyniad beitiau

Unwaith y bydd dirprwy'n dychwelyd 200 i CONNECT, mae'n ailbynnu beitiau ac mae'r porwr yn cadw ei sesiwn TLS ei hun gyda'r tarddiad. Felly ni all dirprwy sy'n ailbynnu beitiau ddarllen y 403 amgryptiedig y tu mewn i'r sesiwn honno, ac nid yw byth yn dod yn awdur y gwrthodiad. Mae gwrthodiad cyn i'r twnnel agor yn ddigwyddiad hollol wahanol, a gynhyrchir un haen yn is.

Mae dirprwy gwrthdro sy'n terfynu TLS mewn sefyllfa wahanol: mae'n berchen ar y ffin TLS, yn dosrannu HTTP, ac yn gallu ailysgrifennu neu ryng-gipio matebion yn gyfreithlon. Dewis cyfluniad yw'r gallu hwnnw, nid priodwedd o ddirprwyo'n gyffredinol, ac nid yw'n awdurdodi osgoi polisi mynediad y cymhwysiad. Mae darllen y mateb yn allu; mae penderfynu beth y caiff y galwr ei weld yn parhau i fod yn waith y tarddiad.

Y canlyniad ymarferol yw bod rhaid i chi wybod pa un o'r tri siâp rydych yn ei redeg cyn dehongli 403. Nid yw ychwanegu rheolau archwilio HTTP at ddirprwy ffrwd yn rhoi gwelededd iddo, a bydd disgwyl i ailbyniad beitiau egluro gwrthodiad tarddiad yn eich anfon i edrych yn y log anghywir.

Cymharwch lwybr allanfa'r dirprwy ag adres twnnel y porwr

Nid yw porwr sy'n gysylltiedig â VPN yn symud gweinydd dirprwy ar wahân i'r twnnel hwnnw yn awtomatig. Mae'r tarddiad yn gweld adres allanfa'r dirprwy, ac os yw'r dirprwy'n dal i adael drwy'r llwybr diofyn lleol, mae'r safle gwarchodedig yn gweld adres na chafodd ei chyflunio erioed i ymddiried ynddi. Mae adres VPN fewnol y gliniadur yn anweladwy i'r tarddiad hwnnw. Dyma'r rheswm mwyaf cyffredin pam mae twnnel sy'n gweithio yn dal i roi 403 o safle sy'n ymddwyn yn gywir i bawb arall.

Profwch y ddau lwybr ar wahân fel na ellir cymysgu'r adresau.

curl -sS -o /dev/null -w 'status=%{http_code}\n' --noproxy '*' https://198.51.100.20/private
curl -sS -o /dev/null -w 'status=%{http_code}\n' -x http://203.0.113.10:3128 https://198.51.100.20/private

Mae'r cais cyntaf yn dangos beth mae'r tarddiad yn ei ateb i'ch adres eich hun, mae'r ail yn dangos beth mae'n ei ateb i un y dirprwy. Mae pâr cyfatebol o 403 yn pwyntio at reolau awdurdodi'r tarddiad; mae 200 wedi'i ddilyn gan 403 yn pwyntio at lwybr y dirprwy. Gofynnwch i berchennog y tarddiad pa adresau ffynhonnell y mae'r set rheolau'n eu derbyn mewn gwirionedd yn hytrach na thybio bod y pwll VPN wedi'i gynnwys.

Profwch bob ffin gyda chais sy'n ei hynysu

Ynyswch yr haen ddirprwy drwy ofyn iddi am rywbeth na all ei wrthod am resymau cymhwysiad. Mae CONNECT i westeiwr y caiff y dirprwy gyrraedd ato, gyda'r allbwn wedi'i daflu, yn dweud wrthych a yw derbyniad twnnel yn gweithio o gwbl.

curl -sSv -o /dev/null -x http://203.0.113.10:3128 https://198.51.100.20/ 2>&1 | grep -E 'CONNECT|HTTP/1.1|Proxy-Authenticate'

Os yw hynny'n argraffu 200 ar gyfer y CONNECT ac yna handshake TLS, mae derbyniad y dirprwy'n iawn a daeth y 403 diweddarach o'r tarddiad. Os yw'n argraffu 407, rhowch gymwysterau dirprwy gyda --proxy-user ac ailadroddwch cyn tynnu unrhyw gasgliad am y safle. Os yw'n argraffu 403 ar y llinell CONNECT, rhestr ganiatáu'r dirprwy ei hun yw'r ffin i'w harchwilio, ac nid yw'r cymhwysiad yn rhan ohoni.

Cadwch gymwysterau allan o hanes y plisgyn ac allan o drawsgrifiadau a ludo. Mae cyfrinair dirprwy a deipiwyd mewn llinell orchymyn yn weladwy i ddefnyddwyr lleol eraill, ac mae ôl CONNECT a ddelir gyda chymwysterau yn waeth nag unrhyw ôl.

Cadwch y dyfarniad yn ddarllenadwy yn hytrach nag ailysgrifennu'r dudalen

Unwaith y gwyddoch pa gydran a wrthododd, cadwch yr ateb hwnnw. Mae dirprwy gwrthdro sy'n ailenwi 403 tarddiad fel goramser 504, neu'n ei ddisodli â thudalen lwyddiant, yn cuddio penderfyniad awdurdodi y tu ôl i stori argaeledd ac yn anfon yr ymatebwr nesaf at y tîm anghywir. Mae tudalennau gwall cyfaddas yn iawn pan fyddant yn cadw'r statws ac yn ychwanegu cyd-destun.

Mae cachu yn haeddu'r un gofal. Mae RFC 9111 yn rheoli sut y caiff caches a rennir ailddefnyddio matebion, ac ni ddylid rhoi gwrthodiad a gynhyrchwyd i un galwr i un arall fel petai'n ganiatâd. Os ystyrir storio matebion gwrthod o gwbl, cadwch nhw'n breifat ac yn gyfyngedig, ac na ychwanegwch reol ffresni gyhoeddus byth dim ond i leihau traffig i fyny'r afon.

Gorffennwch â dyfarniad ysgrifenedig sy'n enwi'r gydran, y statws a gynhyrchodd, a'r adres ffynhonnell a welodd y tarddiad. Cofnodwch y cais union, y gosodiadau dirprwy sy'n weithredol, a'r amser, fel y gellir cymharu'r adroddiad nesaf â'r un dystiolaeth yn hytrach na'i hailddeillio o'r cof. Mae'r cofnod hwnnw'n ateb yr adroddiad nesaf mewn eiliadau ac yn atal yr un 403 rhag cael ei ail-ddiagnosio fel methiant VPN.