Kas VPN-klient teie veebiserveris rikub selle vastused?

Sait laaditakse samas võrgus olevast sülearvutist ja kõikjalt mujalt lõpeb see ajapiiranguga, ning host töötab ka oma väljuva liikluse jaoks VPN-kliendiga. See kombinatsioon tekitab kindla tõrke: sissetulev ühendus saabub, vastus väljub vale tee kaudu ja väljaspool olev klient ei näe kunagi vastust. Mõlemad pooled ilmuvad samas paketikogumis, seega sündmuste järjekord on see osa, mida tasub lugeda.

Lähtepõhine marsruudireegel parandab sageli sümptomi. See jätab tavaliselt erandiks ka rohkem liiklust kui sait, mis selle esile kutsus, ja just seda tasub mõista enne reegli salvestamist.

Sümptom: see vastab kohapeal, mitte väljast

Võrgu sees ei pea vastus tunnelit läbima, seega leht laaditakse ja teenus näib terve. Väljast jõuab päring hostini ja vastus suunatakse VPN-i, kus kaugemal otsal pole põhjust seda vastu võtta. Brauser näeb keeldumise asemel ajapiirangut, mis on ühesuunalise tee, mitte suletud pordi tunnus.

Kinnitage kuju enne marsruutimise muutmist: kuulaja töötab, kohalik päring õnnestub ja väline päring ei anna üldse vastust. Need kolm tähelepanekut osutavad koos tagasiteele, mitte veebiserveri konfiguratsioonile. Nii puhas asümmeetria on kasulikum kui ükski logirida, sest see välistab kuulaja enne, kui loete ühtki veateadet.

Hoidke töötamise ajal avatud sõltumatu haldustee. Reegel, mis rikub teie enda SSH-sessiooni, muudab kümne minuti paranduse füüsiliseks visiidiks.

Mida lähteselektor tegelikult sobib

Linuxi poliitikamarsruutimises sobib reegel nagu from 192.168.50.2 pakettidega, mille lähteks on see aadress. See ei kodeeri fakti, et pakett jätkab vestlust, mis sisenes koduruuteri kaudu, ja ei tea, milline protsess selle lõi. Selle näite aadress on illustratiivne; asendage see aadressiga, mida teie host tegelikult kasutab. Käsitlege rida väitena aadresside kohta ja mitte millegi enama kohta.

Kui valitud tabel pakub tavalist vaikimisi marsruuti, võib iga selle lähtega pakett võtta sama erandi. Teine samale aadressile seotud teenus pärib selle, ja rakendus, mis seob end teadlikult selle aadressiga, pärib selle samuti. Poliitikareeglite viide loetleb lähtekoha, sihtkoha, protokolli, pordi, märgise ja prioriteedi eraldi selektoritena, mis tuletab meelde, et üksinda lähtekoht on kõige jämedam saadaolev.

Prioriteet otsustab tulemuse. Otsingud käivad järjekorras ja esimene tabel, mis annab tulemuse, võib otsingu lõpetada, seega liiga vara paigutatud reegel võib varjata täpsemat marsruuti, mille hilisem tabel oleks andnud. Lugege kogu järjestatud loendit, mitte ainult rida, mille lisasite. Reegel, mis kunagi ei sobitu, ei maksa midagi, samas kui liiga vara sobituv muudab vaikselt kõike enda taga.

Kontrollige tagasiteed ja liiklust, mida te ei kavatsenud

Lugege reeglid ja tabelid ning seejärel küsige tuumalt, millise marsruudi konkreetne lähte- ja sihtpaar võtaks. Hostist endast testimine ei ole sama mis väljast testimine, seega tehke mõlemat.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Seejärel võtke vastu uus väline ühendus ja eraldi päring, mis peab endiselt VPN-i kaudu väljuma. Kui teine väljub nüüd otse, on erand laiem kui probleem, mida lahendasite, ja tähtis test on see, mida te ei kavatsenud muuta.

Avaliku aadressi kontroll brauseris teatab ainult päringutest, mille see brauser tegi. See ei ütle midagi veebiserveri vastuste kohta, teise kohaliku rakenduse lähtevaliku kohta ega selle kohta, mis juhtub haldusliiklusega pärast järgmist VPN-i taasühendust.

Otsustage, kui kitsas erand saab olla

Kaks lahendust on kaitstavad ja need tuleks valida teadlikult. Kui host on mõeldud selle teenuse avaldamiseks ja selle väljuv liiklus on tähtsusetu, on sihtotstarbeline kohalik aadress ainult WAN-i poliitikaga mõistlik korraldus, eeldusel et aktsepteerite kogu ulatust. Kui kvalifitseeruda peaksid ainult teatud sissetulevad ühendused, on aadressi valik liiga jäme ja selle ette kuulub ühendusi arvestav lahendus.

Kirjutage üles leping, millele toetute: avalik vastendus, hosti aadress, kuhu päring toimetatakse, ja tee, mida vastus peaks võtma. VPN-teenusepakkuja kaudu avaldatud sissetulev teenus on erinev leping kui koduruuteri kaudu avaldatu, ja ühest näitest kopeeritud erand on teise jaoks sageli vale.

Hoidke poliitikat marsruutimist omavas komponendis, selle asemel et kleepida käsk alglaadimisfaili. Reeglite järjekord, võrgu muutmise järel puhastamine ja taaskäivituse järel kordamine peavad kõik vastu pidama, ja testimata alglaadimisfail ebaõnnestub tavaliselt hetkel, mil te ei vaata. Lõpetage vastuvõtutulemusega, mida saate kaitsta: üks avaldatud sait taastatud ja üks seostamata voog muutmata.