Γιατί η διεύθυνση της σήραγγας VPN δεν ανοίγει θύρα εισόδου
Μια διεύθυνση σήραγγας αναγνωρίζει τον πελάτη σας σε ομότιμους που μπορούν να δρομολογήσουν προς αυτήν και ποτέ δεν δημιουργεί ακροατή. Ελέγξτε τη δέσμευση, τη διαδρομή επιστροφής και μετά την πολιτική.
Συνδεθείτε στο VPN του γραφείου, ξεκινήστε μια μικρή υπηρεσία στη θύρα 8443, στείλτε τη διεύθυνση της σήραγγας σε έναν συνάδελφο και παρακολουθήστε τη σύνδεση να αποτυγχάνει ενώ ο πελάτης εξακολουθεί να αναφέρει ότι είναι συνδεδεμένος. Τίποτα δεν είναι χαλασμένο στη σήραγγα: η διεύθυνση δόθηκε, η συνεδρία είναι ενεργή και τα πακέτα που θα μετέφεραν την απάντηση απλώς δεν γίνονται ποτέ δεκτά. Εκτελέστε τους τρεις ελέγχους παρακάτω με τη σειρά και σταματήστε σε αυτόν που αποτυγχάνει, γιατί ο καθένας έχει διαφορετική διόρθωση και μόνο ένας από αυτούς αφορά το VPN.
Ξεκινήστε από το πού είναι πραγματικά δεσμευμένο το socket
Πριν δρομολογηθεί οτιδήποτε, κάτι πρέπει να ακούει σε μια διεύθυνση που μπορεί να φτάσει ο καλών. Οι διακομιστές ανάπτυξης είναι ο συνήθης ένοχος, γιατί πολλοί από αυτούς δεσμεύονται εξ ορισμού στο loopback και δέχονται μόνο συνδέσεις που προέρχονται από το ίδιο μηχάνημα. Μια διεύθυνση σήραγγας δεν αλλάζει αυτή τη δέσμευση και το λειτουργικό σύστημα θα απορρίψει τη σύνδεση πολύ πριν εμπλακεί το VPN.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Διαβάστε τη στήλη της τοπικής διεύθυνσης και όχι την κατάσταση. Το 127.0.0.1:8443 σημαίνει μόνο loopback και η διόρθωση είναι δέσμευση στο 0.0.0.0 ή στην ίδια τη διεύθυνση της σήραγγας. Το 0.0.0.0:8443 δέχεται σε κάθε διεπαφή, κάτι ευρύτερο από ό,τι σκοπεύουν οι περισσότεροι όταν το μηχάνημα έχει και δημόσια διεύθυνση, ενώ το 10.64.7.15:8443 είναι η στενή εκδοχή που ακούει μόνο εκεί όπου φτάνει ο συνάδελφος. Προσέξτε και το όνομα της διεργασίας στην ίδια έξοδο, γιατί ένα περιπλανώμενο στιγμιότυπο από προηγούμενη δοκιμή είναι συνηθισμένη αιτία να φαίνεται η θύρα ανοιχτή και να απαντά με λάθος περιεχόμενο.
Έπειτα ρωτήστε αν κάτι μπορεί να δρομολογήσει προς αυτή τη διεύθυνση
Μια διεύθυνση σήραγγας έχει νόημα μόνο για ομότιμους που είναι ρυθμισμένοι να στέλνουν αυτό το πρόθεμα μέσα στη σήραγγα. Το μηχάνημα του συναδέλφου έχει τον δικό του πίνακα και, αν δεν έχει διαδρομή για το υποδίκτυο της σήραγγας, το πακέτο πηγαίνει στην προεπιλεγμένη πύλη και πεθαίνει σε ένα μέρος που δεν έχει ιδέα ότι η διεύθυνση υπάρχει. Αυτό είναι ζήτημα δρομολόγησης στην πλευρά του καλούντος, όχι άδεια στη δική σας.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Ο διακομιστής ανάμεσα στους δύο πελάτες έχει την ίδια σημασία. Στη συνήθη σχεδίαση απομακρυσμένης πρόσβασης κάθε πελάτης ανοίγει εξερχόμενη σύνδεση προς την πύλη και η πύλη κρατά κατάσταση για αυτές τις ροές, ώστε οι απαντήσεις να επιστρέφουν από διαδρομή που ήδη γνωρίζει. Μια σύνδεση από τον έναν πελάτη στον άλλο είναι νέα ροή που η πύλη πρέπει να δεχτεί και να προωθήσει, και πολλές εγκαταστάσεις το απενεργοποιούν σκόπιμα για να κρατούν τους πελάτες απομονωμένους μεταξύ τους. Οι υπηρεσίες VPN καταναλωτών συνήθως απομονώνουν εξ ορισμού, ενώ οι εταιρικές πύλες μερικές φορές το επιτρέπουν ανά ομάδα.
Ελέγξτε την κατεύθυνση πριν αλλάξετε οτιδήποτε στον κεντρικό υπολογιστή. Αν η διεύθυνση της σήραγγας απαντά από την ίδια την πύλη αλλά όχι από έναν ομότιμο, η διαφορά είναι η ρύθμιση πελάτη-προς-πελάτη της πύλης και καμία επεξεργασία του τοπικού τείχους προστασίας δεν την αντικαθιστά.
Τέλος, βρείτε την πολιτική που επιτρέπει τη ροή
Τρία επίπεδα πολιτικής βρίσκονται ανάμεσα σε ένα δρομολογημένο πακέτο και σε μια υπηρεσία που απαντά: η απόφαση προώθησης του διακομιστή VPN, το τείχος προστασίας του κεντρικού υπολογιστή και οποιαδήποτε ομάδα ασφαλείας cloud μπροστά από το στιγμιότυπο. Και τα τρία πρέπει να συμφωνούν και αποτυγχάνουν με διαφορετικούς τρόπους, γι' αυτό το σύμπτωμα στον πίνακα παραπάνω είναι πιο χρήσιμο από το μήνυμα σφάλματος στο πρόγραμμα περιήγησης.
Το τείχος προστασίας του κεντρικού υπολογιστή είναι το επίπεδο που ξεχνούν οι άνθρωποι μετά από μια επιτυχημένη δέσμευση, γιατί ένας κανόνας που επιτρέπει τη θύρα στη διεπαφή LAN δεν την επιτρέπει αυτόματα στη διεπαφή της σήραγγας. Οι κανόνες με περιορισμό διεπαφής είναι σωστή σχεδίαση και επίσης η συνήθης αιτία μιας υπηρεσίας που δουλεύει από το γραφείο και όχι από το σπίτι. Διαβάστε το εύρος του κανόνα και όχι τον αριθμό της θύρας.
Το φιλτράρισμα κατάστασης εξηγεί την αντίστροφη περίπτωση. Μια εξερχόμενη σύνδεση από τον φορητό σας υπολογιστή δημιουργεί κατάσταση και οι απαντήσεις σε αυτή γίνονται δεκτές χωρίς κανόνα εισόδου. Η σύνδεση του συναδέλφου είναι μια ολοκαίνουργια ροή χωρίς κατάσταση πίσω της, οπότε χρειάζεται ρητή άδεια. Αυτή η ασυμμετρία είναι ο λόγος που μια λειτουργική συνεδρία περιήγησης στο δικό σας μηχάνημα δεν λέει τίποτα για το αν η υπηρεσία είναι προσβάσιμη από έξω.
Όταν ένας έλεγχος αποτυγχάνει, αλλάξτε τη σχεδίαση και όχι τη σήραγγα
Αν η απαίτηση είναι ένας συνάδελφος να ανοίγει την τοπική σας υπηρεσία, η ειλικρινής απάντηση είναι συνήθως ένας μηχανισμός φτιαγμένος για πρόσβαση εισόδου. Μια αντίστροφη σήραγγα SSH είναι η μικρότερη: το μηχάνημά σας συνδέεται εξερχόμενα σε έναν κεντρικό υπολογιστή που ο συνάδελφος μπορεί ήδη να φτάσει και ο ακροατής υπάρχει σε εκείνον τον υπολογιστή.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Ο αναμεταδότης χρειάζεται GatewayPorts clientspecified στη ρύθμιση του διακομιστή SSH, αλλιώς ο προωθημένος ακροατής δεσμεύεται στο loopback του αναμεταδότη και ο συνάδελφος συναντά την ίδια άρνηση όπως πριν. Για οτιδήποτε διαρκεί περισσότερο από ένα απόγευμα, ένας εξισορροπητής φόρτου ή ingress με έλεγχο υγείας και πιστοποιητικό για το δημοσιευμένο όνομα είναι το καλύτερο εργαλείο, και μια σήραγγα τοποθεσίας-σε-τοποθεσία με διαδρομές για τα δύο υποδίκτυα είναι η σωστή απάντηση όταν δύο δίκτυα πρέπει πραγματικά να μιλήσουν.
Κάθε μία από αυτές τις σχεδιάσεις κάνει την έκθεση ρητή και αυτό είναι το νόημα. Ένα VPN μεταφέρει πακέτα ανάμεσα σε δίκτυα για τα οποία ήσασταν ήδη εξουσιοδοτημένοι, δεν δημοσιεύει υπηρεσία και δεν μετατρέπει έναν φορητό υπολογιστή σε υπολογιστή στραμμένο στο διαδίκτυο. Το καθήκον είναι να αποφασίσετε ποιο από τα τρία επίπεδα θα αλλάξετε και η σήραγγα σπάνια είναι ένα από αυτά.