Pam nad yw cleientiaid Access Server yn anhyrraeddadwy o’r LAN

Mae’r gliniadur yn cysylltu, mae’r twnnel i fyny, ac mae ceisiadau i wasanaeth mewnol yn hongian wrth gysylltu. Ar y gwasanaeth ei hun mae’r cais yn cyrraedd o gyfeiriad fel 10.90.0.25, mae’r ateb yn gadael tuag at y giât ragosod a does dim yn dod yn ôl, oherwydd nid oes gan y giât honno unrhyw syniad ble mae 10.90.0.25 yn byw. O’r pen arall mae’r un nam yn edrych fel gwesteiwr mewnol na all bingo cleient cysylltiedig. Y ddau yw un gwrthrych coll: llwybr dychwelyd i bwll cleientiaid VPN, na all ond y rhwydwaith preifat ei ychwanegu.

Darllenwch y cyfeiriad ffynhonnell y mae’r gwasanaeth yn ei weld

Mae’r un maes hwnnw yn penderfynu popeth arall. Os yw’r gwasanaeth mewnol yn gweld cyfeiriad y pwll, mae Access Server yn cyfeirio yn hytrach na chuddio traffig cleientiaid, a rhaid cyfeirio pob ateb yn ôl i’r pwll. Os yw’n gweld cyfeiriad preifat y gweinydd ei hun yn lle hynny, mae’r gweinydd yn masgio ac mae’r llwybr ateb yn gweithio’n barod, ar gost colli unrhyw unfathiaeth fesul cleient yng nghofnodion a rheolau mynediad y gwasanaeth.

Cymharwch y ddau ben cyn newid unrhyw beth. Ar y gweinydd, rhestroch y rhyngwynebau twnnel a’u cyfeiriadau; ar y cleient, cadarnhewch pa un o’r cyfeiriadau hynny y mae’n ei ddal mewn gwirionedd; ar y gwesteiwr mewnol, edrychwch ar gysylltiad byw.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Y gorchymyn olaf yw’r un sy’n methu yn yr achos wedi torri: naill ai mae’n adrodd bod rhagddodiad y twnnel yn anhyrraeddadwy neu, yn waeth, mae’n dychwelyd eich giât ragosod, a dyna sut mae atebion yn cyrraedd y rhyngrwyd.

Peidiwch â chymryd mai un pwll sydd. Gall gweinydd fod ag amrediad deinamig ynghyd â mapiau statig fesul defnyddiwr, a gall y cyfeiriad statig fod y tu allan i’r rhagddodiad deinamig yn gyfan gwbl. Os cyfeiriwch chi ddim ond yr amrediad rydych chi’n ei gofio, mae defnyddwyr â chyfeiriadau sefydlog yn aros yn doredig ac mae pawb arall yn adrodd bod y broblem wedi’i datrys.

Ychwanegwch y llwybr lle penderfynir yr ateb

Mae’r llwybr yn perthyn i’r giât y mae’r gwasanaeth mewnol eisoes yn ei defnyddio, nid i’r gwasanaeth, oni bai ei fod yn cyfeirio ei draffig ei hun. Cyfeiriwch ef at gyfeiriad preifat hygyrch Access Server, sy’n wahanol i gyfeiriad y twnnel y mae cleient yn ei ddal.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Mewn rhwydwaith cwmwl mae’r un datganiad yn dod yn gofnod tabl llwybrau a’i darged yw’r achos neu’r rhyngwyneb rhwydwaith sy’n rhedeg y gweinydd, gyda gwirio ffynhonnell a chyrchfan wedi’i analluogi ar y rhyngwyneb hwnnw. Sylwch beth nad yw’r cofnod hwnnw yn ei wneud: nid yw llwybr yn grant mynediad, felly rhaid i grwpiau diogelwch, ACLau rhwydwaith a mur tân y gwesteiwr ganiatáu’r traffig o hyd.

Gwnewch ef yn barhaol, a chadwch feintiau’r pyllau’n onest. Mae angen dau lwybr ar ddau bwll nad ydynt yn gyfagos, ac mae pwll sy’n tyfu y tu hwnt i’w ragddodiad wedi’i ffurfweddu yn cynhyrchu cleientiaid yn dawel nad oes gan eu hatebion unrhyw le i fynd. Os ydych yn rheoli amrediadau’r pyllau, dewiswch grynodeb y gallwch ei gyfeirio unwaith a’i adael.

Rhaid i anfon ymlaen a hidlyddion gytuno â’r llwybr

Cyfeirio yw hanner y llwybr yn unig. Rhaid caniatáu i’r gweinydd anfon ymlaen rhwng y twnnel a’r rhyngwyneb preifat, sy’n golygu ar Linux net.ipv4.ip_forward ynghyd â chadwyn anfon ymlaen sy’n caniatáu’r pâr o ryngwynebau, ac ar westeiwr caled fel arfer rheol benodol ar gyfer pob cyfeiriad.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Mae hidlo â chyflwr yn egluro symptom sy’n gyrru pobl i’r ffordd anghywir. Nid oes angen rheol fewnbwn newydd ar ateb y tu mewn i lif sefydledig, felly nid yw cysylltiad sy’n hongian ar ôl y SYN-ACK yn cael ei rwystro gan reol dderbyn sydd ar goll; mae’n cael ei ollwng neu ei gyfeirio’n anghywir. Cadwch y gwahaniaeth hwnnw, oherwydd mae’n gwahanu newid cyfeirio oddi wrth newid mur tân.

Llwybrau dychwelyd anghymesur yw fersiwn dawelach yr un broblem. Os yw dau lwybr yn cyrraedd y pwll ac mae’r ateb yn cymryd yr un sy’n gadael o ryngwyneb gwahanol i’r un y daeth y cais i mewn arno, mae hidlo llwybr cefn llym yn ei ollwng ac mae’r llif yn methu ar gyfer rhai cleientiaid yn unig.

Wedi’i gyfeirio neu wedi’i fasgio: dewiswch yn fwriadol

Mae modd cyfeiriedig yn cadw cyfeiriad pwll y cleient yn y gwasanaeth, sy’n gwneud cofnodi a pholisi fesul cleient yn bosibl, ac yn gyfnewid mae angen llwybr y pwll ar bob rhwydwaith mewnol sy’n rhaid ateb cleient. Mae modd masgiedig yn dileu’r gofyniad hwnnw oherwydd bod atebion yn dychwelyd i’r gweinydd, ond ni all y gwasanaeth bellach wahaniaethu un cleient oddi wrth y llall ac ni all gychwyn unrhyw beth tuag at gleient penodol.

Mae newid yr ymddygiad hwnnw ar weinydd byw yn gollwng sesiynau presennol, felly profwch gyntaf gydag un cleient ac un llif. Os yw’r newid yn ateb cywir, penderfyniad ffurfweddu ar y gweinydd ydyw, nid rhywbeth i’w osgoi trwy ychwanegu llwybrau a ddaw’n ddiangen.

Mae is-rwydwaith y tu ôl i’r cleient yn dasg ar wahân

Cyrraedd dyfais ar LAN y gliniadur ei hun nid yw’r un peth â chyrraedd cyfeiriad twnnel y gliniadur. Mae angen i’r cleient weithredu fel giât is-rwydwaith: rhwydwaith datganedig ar ochr y cleient, anfon ymlaen wedi’i alluogi yn system weithredu’r cleient, a llwybr ar y LAN honno yn ôl tuag at y cleient. Nid yw ychwanegu llwybr rhwydwaith preifat ar gyfer amrediad cartref y gliniadur yn gwneud hyn, ac mae’n creu gwrthdaro pan fo gan ddau ddefnyddiwr yr un amrediad cartref.

Mae cyfeiriad yn gwestiwn polisi hefyd. Nid yw caniatâd i gleient agor cysylltiad i wasanaeth mewnol yn gadael i westeiwr mewnol agor cysylltiad i’r cleient hwnnw yn awtomatig. Gwiriwch bolisi mynediad y gweinydd a mur tân gwesteiwr y cleient cyn dod i’r casgliad bod y llwybr wedi torri.

Gwiriwch ag un llif ac un cipiad

Profwch y llwybr ag un cysylltiad yn lle prawf cyrhaeddadwyedd cyffredinol. Gwyliwch yr un llif ar y ddau ben: y cais yn cyrraedd y gwasanaeth a’r ateb yn ei adael.

tcpdump -ni any host 10.90.0.25 and port 443

Cyn y cywiriad mae’r cipiad yn dangos yr ateb yn gadael tuag at giât na fydd yn ei gyfeirio. Ar ôl y cywiriad mae’r ateb yn gadael tuag at y gweinydd ac mae’r llif yn cwblhau. Yna cadarnhewch y llwybr y byddai’r giât yn ei ddefnyddio ar gyfer ail gyfeiriad cleient, fel bod pwll nad ydych wedi’i gwmpasu yn ymddangos nawr yn hytrach nag mewn wythnos.

Gorffennwch gyda’r pedwar gwiriad sy’n cloi hyn: mae’r cyfeiriad ffynhonnell yn y gwasanaeth yn cyfateb i’r modd y bwriadwyd, mae gan y giât lwybr i bob pwll sy’n cael ei ddefnyddio, mae anfon ymlaen a hidlyddion yn caniatáu’r ddau gyfeiriad, ac mae un llif go iawn yn cwblhau o ddechrau i ddiwedd. Mae Cwestiynau cyffredin am gyfeirio Access Server yn datgan yr un egwyddor ar gyfer y rhyddan wedi’i osod, y gall ei ryngwyneb ffurfweddu a gefnogir fod yn wahanol i ganllawiau hŷn.