Ĉu VPN-kliento sur via reteja servilo rompas ĝiajn respondojn?

La retejo ŝargiĝas el tekkomputilo en la sama reto kaj tempas el ĉiuj aliaj lokoj, kaj la gastiganto ankaŭ funkciigas VPN-klienton por sia propra elira trafiko. Tiu kombinaĵo produktas specifan misfunkcion: la envenanta konekto alvenas, la respondo eliras laŭ la malĝusta vojo, kaj la kliento ekstere neniam vidas respondon. Ambaŭ duonoj aperas en la sama paketa kaptaĵo, do la ordo de la eventoj estas la parto inda je legado.

Fontbaza enkursiga regulo ofte solvas la simptomon. Ĝi ankaŭ kutime esceptas pli da trafiko ol la retejo, kiu kaŭzis ĝin, kaj tio estas la parto inda je kompreno antaŭ ol vi konservos la regulon.

La simptomo: ĝi respondas loke kaj ne de ekstere

Ene de la reto la respondo ne devas trapasi la tunelon, do la paĝo ŝargiĝas kaj la servo aspektas sana. De ekstere la peto atingas la gastiganton kaj la respondo estas enkursigita en la VPN, kie la malproksima fino havas neniun kialon akcepti ĝin. La retumilo vidas tempolimon anstataŭ rifuzon, kio estas la signo de unudirekta vojo kaj ne de fermita pordo.

Konfirmu la formon antaŭ ol ŝanĝi la enkursigon: la aŭskultanto funkcias, la loka peto sukcesas, kaj la ekstera peto produktas neniun respondon. Tiuj tri observoj kune montras al la revena vojo kaj ne al la agordo de la reteja servilo. Tiel pura malsimetrio estas pli utila ol iu ajn protokola linio, ĉar ĝi ekskludas la aŭskultanton antaŭ ol vi legos eĉ unu erarmesaĝon.

Tenu sendependan administran vojon malfermita dum vi laboras. Regulo, kiu rompas vian propran SSH-sesion, transformas dekminutan riparon en fizikan viziton.

Kion fonta selektilo efektive kongruas

En la politika enkursigado de Linux, regulo kiel from 192.168.50.2 kongruas pakaĵojn kies fonto estas tiu adreso. Ĝi ne kodas la fakton, ke la pakaĵo daŭrigas konversacion, kiu eniris tra la hejma enkursigilo, kaj ĝi ne scias, kiu procezo kreis ĝin. La adreso en tiu ekzemplo estas ilustra; anstataŭigu ĝin per la adreso, kiun via gastiganto efektive uzas. Traktu la linion kiel aserton pri adresoj kaj nenion pli.

Se la elektita tabelo provizas ordinaran defaŭltan vojon, ĉiu pakaĵo portanta tiun fonton povas preni la saman escepton. Alia servo ligita al la sama adreso heredas ĝin, kaj aplikaĵo, kiu intence ligiĝas al tiu adreso, ankaŭ heredas ĝin. La referenco pri politikaj reguloj listigas fonton, celon, protokolon, pordon, markon kaj prioritaton kiel apartajn selektilojn, kio memorigas, ke la fonto sola estas la plej kruda havebla.

Prioritato decidas la rezulton. Serĉoj okazas laŭ ordo kaj la unua tabelo, kiu donas rezulton, povas fini la serĉon, do regulo metita tro frue povas kaŝi pli specifan vojon, kiun posta tabelo provizus. Legu la tutan ordigitan liston anstataŭ la unu linion, kiun vi aldonis. Regulo, kiu neniam kongruas, kostas nenion, dum unu, kiu kongruas tro frue, silente ŝanĝas ĉion malantaŭ ĝi.

Kontrolu la revenan vojon kaj la trafikon, kiun vi ne intencis

Legu la regulojn kaj la tabelojn, poste demandu la kernon, kiun vojon specifa paro de fonto kaj celo prenus. Testi de la gastiganto mem ne samas kiel testi de ekstere, do faru ambaŭ.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Poste akceptu novan eksteran konekton kaj, aparte, peton, kiu ankoraŭ devas eliri tra la VPN. Se la dua nun eliras rekte, la escepto estas pli larĝa ol la problemo, kiun vi solvis, kaj la testo, kiu gravas, estas tiu, kiun vi ne intencis ŝanĝi.

Publika adresa kontrolo en retumilo raportas nur la petojn, kiujn tiu retumilo faris. Ĝi diras nenion pri la respondoj de la reteja servilo, pri la fonta elekto de alia loka aplikaĵo, aŭ pri tio, kio okazas al administra trafiko post la sekva VPN-rekonekto.

Decidu, kiom mallarĝa la escepto povas esti

Du dezajnoj estas defendeblaj kaj ili devas esti elektitaj konscie. Se la gastiganto ekzistas por publikigi ĉi tiun servon kaj ĝia elira trafiko estas malgrava, dediĉita loka adreso kun nur-WAN politiko estas racia aranĝo, kondiĉe ke vi akceptas la tutan amplekson. Se nur apartaj envenantaj konektoj rajtas, la adresa elekto estas tro kruda kaj konekto-konscia dezajno apartenas antaŭ ĝi.

Notu la kontrakton, sur kiu vi baziĝas: la publika mapado, la gastiganta adreso, al kiu la peto estas liverita, kaj la vojo, kiun la respondo devus preni. Envenanta servo publikigita per VPN-provizanto estas malsama kontrakto ol unu publikigita per hejma enkursigilo, kaj escepto kopiita el unu ekzemplo ofte malĝustas por la alia.

Konservu la politikon en la komponento, kiu posedas enkursigadon, anstataŭ alglui komandon en startan dosieron. Regula ordo, purigado post reta ŝanĝo kaj ripeto post restartigo ĉiuj devas pluvivi, kaj netestita starta dosiero kutime malsukcesas en la momento, kiam vi ne rigardas. Finu per la akcepta rezulto, kiun vi povas defendi: unu publikigita retejo restarigita kaj unu nerilata fluo senŝanĝa.