VPN επισκέπτη και VPN κεντρικού υπολογιστή: ποια διαδρομή κερδίζει τελικά

Δύο πελάτες τρέχουν ταυτόχρονα, ο καθένας πεπεισμένος ότι κατέχει την προεπιλεγμένη διαδρομή, και το σύμπτωμα έρχεται ως κάτι παράξενο: μια εφαρμογή του επισκέπτη λειτουργεί, μια άλλη επιλύεται στο λάθος σημείο. Ένα VPN μέσα στον επισκέπτη και ένα VPN στον κεντρικό υπολογιστή μπορούν να συνυπάρχουν, αλλά μόνο όταν η εξωτερική διαδρομή και η εσωτερική πολιτική συμφωνούν για το ποιος μεταφέρει τι. Η εκκίνηση και των δύο δεν δημιουργεί αλυσίδα από μόνη της. Καταγράψτε πρώτα τη σύνδεση και μετά αλλάξτε ένα πράγμα τη φορά.

Καταγράψτε πρώτα τη σύνδεση του επισκέπτη

Ο επισκέπτης φτάνει στον διακομιστή VPN του μέσω όποιου δρόμου του έδωσε ο υπερεπόπτης: NAT πίσω από τον κεντρικό υπολογιστή, μια γέφυρα προς το φυσικό τμήμα ή ένα δίκτυο μόνο για τον κεντρικό υπολογιστή με δρομολόγηση από πάνω. Κάθε σύνδεση αλλάζει το τι μπορεί να δει ο επισκέπτης και το τι μπορεί να κάνει ο κεντρικός υπολογιστής στην κίνησή του. Κάτω από NAT τα πακέτα του επισκέπτη φαίνονται να έρχονται από τον κεντρικό υπολογιστή, οπότε η δική του σήραγγα μπορεί να τα μεταφέρει χωρίς ο επισκέπτης να γνωρίζει τίποτα. Κάτω από γέφυρα ο επισκέπτης έχει δική του παρουσία στο τμήμα και δική του προεπιλεγμένη πύλη.

Καταγράψτε τη σύνδεση πριν αγγίξετε οποιαδήποτε διαμόρφωση, μαζί με το ποιος πελάτης υποτίθεται ότι μεταφέρει ποια εφαρμογή. Αυτή η πρόταση λύνει τα περισσότερα από αυτά τα αιτήματα, γιατί οι δύο πελάτες συνήθως βασίζονται σε διαφορετικές παραδοχές. Ένας επισκέπτης που αναμένεται να χρησιμοποιεί τη σήραγγα του κεντρικού υπολογιστή δεν πρέπει να έχει και δική του ανταγωνιστική προεπιλεγμένη διαδρομή.

Ακολουθήστε το τελικό σημείο του επισκέπτη προς τα έξω

Ένα VPN επισκέπτη χρειάζεται μια βιώσιμη διαδρομή προς τον δικό του διακομιστή πριν λειτουργήσει οτιδήποτε άλλο. Όταν η σήραγγα του κεντρικού υπολογιστή είναι ενεργή και ο επισκέπτης βρίσκεται πίσω από NAT, η χειραψία του επισκέπτη βγαίνει μέσα από τη σήραγγα του κεντρικού υπολογιστή, που είναι είτε ο σχεδιασμός είτε ένα ατύχημα που κανείς δεν τεκμηρίωσε. Όταν η σήραγγα του κεντρικού υπολογιστή πέσει και ο επισκέπτης εξαρτιόταν από αυτήν, ο επισκέπτης χάνει τη συνδεσιμότητα χωρίς ούτε μία αλλαγή από τη μεριά του. Η παρακολούθηση του τελικού σημείου προς τα έξω σας λέει ποια από τις δύο περιπτώσεις έχετε πραγματικά.

Μια ευρεία διαδρομή σε οποιοδήποτε από τα δύο πλαίσια πιάνει κίνηση που περίμενε ο άλλος πελάτης. Μια διαδρομή 0.0.0.0/0 μέσα στον επισκέπτη και ένας πελάτης κεντρικού υπολογιστή με πλήρη σήραγγα διεκδικούν και οι δύο τα πάντα, και κερδίζει όποια εφαρμοστεί τελευταία. Οι επικαλύψεις ανάμεσα στα εικονικά δίκτυα του επισκέπτη, στο τοπικό LAN και στα απομακρυσμένα δίκτυα παράγουν το ίδιο αποτέλεσμα για ιδιωτικά προθέματα, με αστοχίες που μοιάζουν με προβλήματα ταυτοποίησης; η συμπεριφορά μετάφρασης διευθύνσεων είναι η ίδια που περιγράφεται για τη δικτύωση δοχείων.

Συγκρίνετε μια καταγραφή πριν και μετά

Πάρτε μια βάση με τη σήραγγα του κεντρικού υπολογιστή κλειστή, ή σε όποια ελεγχόμενη κατάσταση επιτρέπει η πολιτική σας, και καταγράψτε τη διαδρομή και τον επιλυτή του επισκέπτη. Έπειτα εφαρμόστε τη συνδυασμένη διαμόρφωση και συγκρίνετε τις δύο καταγραφές, κρατώντας τις απαιτήσεις ιδιωτικότητας άθικτες. Αν μια άμεση βάση δεν είναι κατάλληλη, γράψτε αυτόν τον περιορισμό στην καταγραφή αντί να παραλείψετε τη σύγκριση.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Το ερώτημα διαδρομής ονομάζει τη διεπαφή και τη διεύθυνση προέλευσης που θα μετέφεραν έναν συγκεκριμένο προορισμό, και είναι η πιο χρήσιμη γραμμή σε αυτήν την έρευνα. Η λίστα κανόνων δείχνει αν η δρομολόγηση πολιτικής στέλνει μερικούς προορισμούς μέσα από δεύτερο πίνακα. Η έξοδος του επιλυτή δείχνει αν το DNS ακολούθησε τη σήραγγα του επισκέπτη ή έμεινε στη διαδρομή του κεντρικού υπολογιστή. Εκτελέστε τις ίδιες τρεις εντολές πριν και μετά την αλλαγή, και η διαφορά θα ονομάσει τον ένοχο.

Κρατήστε την κυριότητα καθαρή ανάμεσα σε επανεκκινήσεις

Ο περιορισμός τοπικής πρόσβασης ενός πελάτη κεντρικού υπολογιστή μπορεί να μπλοκάρει την κίνηση προς ένα εικονικό NAT ή γέφυρα, και αυτός ο περιορισμός συχνά παρεξηγείται ως πρόβλημα διαπιστευτηρίων του επισκέπτη. Διαβάστε την τεκμηριωμένη συμπεριφορά του πελάτη αντί να απενεργοποιήσετε τον περιορισμό για να περάσει ένα τεστ. Μετά από μια υποστηριζόμενη διόρθωση, δοκιμάστε ξανά την εφαρμογή του επισκέπτη και την πολιτική αποτυχίας που απαιτείτε. Ένας κεντρικός υπολογιστής που επανασυνδέεται με επιτυχία δεν αποδεικνύει τίποτα για τη διαδρομή ή τον επιλυτή του επισκέπτη.

Αποφασίστε ποια πλευρά κατέχει την προεπιλεγμένη διαδρομή και γράψτε το στο εγχειρίδιο λειτουργίας. Μια επανεκκίνηση του επισκέπτη ή μια αλλαγή δικτύου στον κεντρικό υπολογιστή που αντιστρέφει σιωπηλά την κυριότητα παράγει αναφορά σφάλματος για ένα VPN που ποτέ δεν έφταιγε. Η ρύθμιση θα πρέπει να αντέχει μια επανεκκίνηση χωρίς κανείς να θυμάται γιατί δούλευε.