Ο διακομιστής ιστού εξαφανίζεται όταν συνδέεται ο πελάτης VPN

Μια υπηρεσία που εξαφανίζεται τη στιγμή που συνδέεται ένας πελάτης VPN συνήθως δεν μπλοκάρεται, αλλά απαντά μέσω της λάθος διεπαφής. Το αίτημα φτάνει στη φυσική κάρτα δικτύου, ο δαίμονας γράφει μια απάντηση και ο πίνακας δρομολόγησης παραδίδει αυτή την απάντηση στη σήραγγα, αφού η σήραγγα έχει αναλάβει την προεπιλεγμένη διαδρομή. Ο απομακρυσμένος πελάτης δεν βλέπει ποτέ απάντηση σε μια σύνδεση που άνοιξε, οπότε περιμένει και μετά αναφέρει λήξη χρόνου. Κανένας κανόνας τείχους προστασίας δεν εμπλέκεται πουθενά σε αυτή την ακολουθία.

Το σύμπτωμα: αιτήματα μέσα, απαντήσεις έξω από τη λάθος πόρτα

Το σημάδι είναι μια εισερχόμενη σύνδεση που αποτυγχάνει ενώ όλα τα άλλα στον κεντρικό υπολογιστή λειτουργούν. Άλλη ένδειξη είναι ένας κεντρικός υπολογιστής προσβάσιμος από το LAN αλλά όχι από το διαδίκτυο, ή ένας που λειτουργεί μέχρι να επανασυνδεθεί η σήραγγα και μετά σταματά. Σε κάθε περίπτωση η κατεύθυνση προς τα εμπρός λειτουργούσε και η κατεύθυνση επιστροφής όχι, κάτι που δείχνει ασυμμετρία δρομολόγησης και όχι πολιτική.

Επιβεβαιώστε το παρακολουθώντας πού πηγαίνει η απάντηση, όχι παρακολουθώντας πώς φτάνει το αίτημα.

Καταγράψτε ταυτόχρονα στη φυσική διεπαφή και στη συσκευή της σήραγγας. Αν το αίτημα εμφανίζεται στη φυσική διεπαφή και η απάντηση στη σήραγγα, η διάγνωση έχει τελειώσει. Μια απάντηση που δεν εμφανίζεται πουθενά σημαίνει ότι η υπηρεσία δεν δέχτηκε ποτέ τη σύνδεση, κάτι που είναι ξεχωριστή έρευνα με ξεχωριστή αιτία.

Δύο προεπιλεγμένες διαδρομές και μία απόφαση δρομολόγησης

Ένας πελάτης που εγκαθιστά προεπιλεγμένη διαδρομή προσθέτει μια δεύτερη καταχώριση με καλύτερη μετρική από την πύλη LAN. Μερικοί πελάτες εγκαθιστούν αντ' αυτού δύο διαδρομές μισού εύρους, που καλύπτουν τον ίδιο χώρο πιο συγκεκριμένα και κερδίζουν την αναζήτηση με τον ίδιο τρόπο. Και οι δύο τεχνικές αφήνουν τα συνηθισμένα εξερχόμενα πακέτα να επιλέγουν τη διεπαφή της σήραγγας.

Αυτή η επιλογή γίνεται μόνο με βάση τον προορισμό. Ο πυρήνας δεν ρωτά από πού ήρθε ένα πακέτο, εκτός αν κάποιος κανόνας πολιτικής του το επιβάλει. Έτσι η απάντηση σε μια δημόσια διεύθυνση πελάτη παραδίδεται στη σήραγγα, το μακρινό άκρο της οποίας λαμβάνει ένα πακέτο με διεύθυνση προέλευσης που δεν κατέχει και το απορρίπτει ή το προωθεί κάπου άχρηστα. Στο Linux, το αυστηρό φιλτράρισμα αντίστροφης διαδρομής μπορεί επίσης να απορρίψει το αρχικό αίτημα πριν το δει ποτέ η υπηρεσία σας, κάτι που από έξω φαίνεται ίδιο. Και τα δύο συμπτώματα προέρχονται από την ίδια απούσα συσχέτιση μεταξύ μιας εισερχόμενης ροής και της απάντησής της.

Η σήραγγα συμπεριφέρεται σωστά καθ' όλη τη διάρκεια. Της είπαν να μεταφέρει την προεπιλεγμένη διαδρομή και κάνει ακριβώς αυτό.

Διορθώστε τη διαδρομή επιστροφής χωρίς να σπάσετε τη σήραγγα

Υπάρχουν τρεις ανθεκτικές μορφές επισκευής και η επιλογή εξαρτάται από το πόση από την κίνηση του ίδιου του κεντρικού υπολογιστή πρέπει να μείνει μέσα στη σήραγγα. Ο αποκλεισμός του προορισμού ή της θύρας της υπηρεσίας είναι η μικρότερη αλλαγή. Η δρομολόγηση πολιτικής κατά προέλευση ή σήμανση είναι η ακριβέστερη. Η μετάφραση προέλευσης είναι η πιο χονδροειδής και η ευκολότερη να εξηγηθεί δύο χρόνια αργότερα.

Επιλέξτε με βάση το τι πρέπει να κάνει ο κεντρικός υπολογιστής, όχι με βάση ποιο απόσπασμα βρήκατε πρώτο.

Ο αποκλεισμός προορισμού ταιριάζει σε υπηρεσία με σταθερή δημόσια διεύθυνση, και η δέσμευση του δαίμονα στη φυσική διεύθυνση αντί σε κάθε διεύθυνση κάνει αυτόν τον αποκλεισμό ασφαλέστερο. Ένας κανόνας πολιτικής που επιλέγει πίνακα κατά προέλευση κρατά τις δικές του συνδέσεις του κεντρικού υπολογιστή μέσα στη σήραγγα ενώ επιστρέφει τις απαντήσεις της υπηρεσίας μέσω της πύλης WAN. Η μεταμφίεση των απαντήσεων στη διεπαφή WAN φτάνει στην ίδια διαδρομή με κόστος την απόκρυψη της διεύθυνσης του πελάτη από τα αρχεία καταγραφής της υπηρεσίας. Μια αυτοσχέδια αλλαγή της προεπιλεγμένης διαδρομής είναι διάγνωση και όχι διαμόρφωση, γιατί ο πελάτης ξαναγράφει τις διαδρομές σε κάθε επανασύνδεση.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Όταν ο κεντρικός υπολογιστής δρομολογεί και για LAN πίσω του

Ένα άλμα πιο έξω, η ίδια ασυμμετρία επιστρέφει με περισσότερα κινούμενα μέρη. Η κίνηση φτάνει στον δρομολογητή από το διαδίκτυο, προωθείται σε εσωτερική συσκευή και η μόνη διαδρομή επιστροφής αυτής της συσκευής είναι η σήραγγα, οπότε η απάντηση φτάνει στον αρχικό πελάτη από τη διεύθυνση του ίδιου του παρόχου. Στη συνέχεια η παρακολούθηση συνδέσεων συναντά μια απάντηση για ροή που δεν είδε να ξεκινά και την απορρίπτει. Ο πελάτης, στο μεταξύ, δεν βλέπει απολύτως τίποτα.

Δύο αλλαγές το διορθώνουν: μετάφραση προορισμού ώστε η εισερχόμενη σύνδεση να φτάνει στην εσωτερική συσκευή, και μετάφραση προέλευσης ώστε η απάντηση αυτής της συσκευής να φαίνεται ότι έρχεται από τον ίδιο τον δρομολογητή.

Στο υλικολογισμικό του δρομολογητή η συνήθης έκφραση είναι ένας κανόνας πολιτικής που καρφιτσώνει την προώθηση θύρας στην πλευρά WAN ενώ η δική του κίνηση του δρομολογητή ταξιδεύει στη σήραγγα. Χωρίς μετάφραση προέλευσης, αυτή η απάντηση απευθύνεται στον εξωτερικό πελάτη και η εσωτερική συσκευή απλώς δεν έχει διαδρομή προς αυτήν. Δοκιμάστε τρία πράγματα χωριστά, γιατί αποτυγχάνουν για διαφορετικούς λόγους: μια σύνδεση που έρχεται από έξω, μία που ξεκινά ο ίδιος ο κεντρικός υπολογιστής και μια αναζήτηση ονόματος.