Pasabideak bere administrazio-orria ostatatzen du: barneko edo kanpoko helbidea

Administrazio-orri batek datu mugikorreko telefono batetik erantzuten du eta VPN-era batu den ordenagailu eramangarri batetik denbora agortzen da. Tunelean ez dago ezer hautsi, eskaera ez baita inoiz bertan sartzen. Ostalari-izena pasabidearen helbide publikora ebazten da, eta helbide hori berak amaitzen duen tunelaren kanpotik bakarrik da irisgarria. Hau konpontzeak zerbitzuari barneko sarrera bat ematea esan nahi du, kanpoko muturra lekuz aldatu beharrean.

Orria kanpotik kargatzen da, ez tunelaren bidez

Bi eskaera desberdin alderatzen dira. Datu mugikorretik nabigatzaileak helbide publikora zuzenean iristen da. Tunelaren barnetik izen berak helbide publiko berera ebazten du, eta paketeak orain tunelaren bere urruneko aldean dagoen helbide batera iristeko tunelatik irten behar du. Izen bera, helbide bera, oso posizio desberdinak.

Helmugako ibilbide batek helbide bat aukeratzen du, ez portu bat. Bideratze-taulako ezerk ez daki 443 portua administraziorako dela eta 1194 portua garraioa dela, beraz biak helmuga berdin gisa tratatzen dira.

Horregatik orriak batzuetan funtzionatzen du eta batzuetan ez, bezeroak zein izen eta zein sare erabili zituen arabera. Bide-arazo bat da, ez autentifikazio-arazo bat. Bi bezeroek primeran autentifikatzen dute.

Eduki kanpoko muturra irisgarri

Tunel osoko profilek VPN muturrerako salbuespen-ibilbide bat behar dute, eta OpenVPNren redirect-gateway aukerak zehazki hori dokumentatzen du: urruneko muturrak lehendik zegoen pasabidearen bidezko ibilbidea gordetzen du, tunela bere buruan ez bideratzeko. Ken ezazu salbuespen hori eta garraio zifratuak tunelari jarraitzen dio, eta horrek saioa begizta batean amaitzen du. Salbuespen hori da muturreko helbidea tunelaren barnetik irisgarri mantentzearen arrazoia.

Ondorioa da helbide publikoa bezerotik irisgarri mantentzen dela, eta horregatik helbide horri egindako nabigatzaile-eskaera batek salbuespen berari jarrai diezaiokeen eta tunelean sartu gabe irten. Salbuespenak bere lana egiten du, eta izenak egiten du kaltea.

Irakurri ibilbidearen erabakia, ez interfazeen zerrenda, ezer aldatu aurretik. Beheko komandoek erabakia inprimatzen dute, ez inbentarioa. Exekutatu huts egin zuen bezerotik.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Bilaketak muturreko ibilbidea pasabide fisikoaren bidez erakusten badu, portaera zuzena da eta administrazio-orria bide okerretik bidaltzen ari da soilik. Hori da izenen ebazpena konponbide bihurtzen den puntua.

Eman zerbitzuari izen pribatu bat

Zerbitzuak tuneleko pasabidearen helbidera ebazten den izen bat behar du, aplikazioak espero duen ziurtagiri- eta ostalari-izen-semantika mantenduz. Administrazio-izenerako zona-erregistro pribatu bat da erantzun ohikoena, eta garraioaren izena ukitu gabe uzten du.

Ez birbideratu garraioaren izena barneko helbidera, hurrengo tunel-ezarpenak tunelean bakarrik existitzen den helbide batera iristen saiatuko bailitzateke. Akats horrek behin zehazki funtzionatzen duen VPN bat sortzen du.

Egiaztatu bi helbide-familia ere, atzean utzitako AAAA erregistro batek nabigatzailea plan pribatuak inoiz estali ez zuen lekura bidal baitezake.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Egokitu politika prozesua exekutatzen den lekura

Pasabidean entzuten duen prozesu natibo bat tokiko sarrerako bidearen bidez iristen da, beraz sarrera-kateak eta socketaren loturak erabakitzen dute eskaera onartzen den. Birbidaltze-arauak eta IP birbidaltzeak ez dute tokiko entzule bat erantzutera behartzen. Baimendu tunelaren iturriak sarrera-politikan eta egiaztatu prozesua tunelak irits dezakeen helbide batera lotuta dagoela.

Ostalariaren portu batean argitaratutako edukiontzi batek beste bide bat jarraitzen du, paketea helmugarako itzultzen eta birbidaltzen baita. Eskaera horrek ostalariaren birbidaltze-politika eta Dockerren bere arauak aurkitzen ditu, eta horregatik funtzionatzen duen entzule natibo bat eta portu bera ukatzen duen edukiontzi bat elkarrekin bizi daitezke.

Abio-ordena garrantzitsua da bi kasuetan, tunelea altxatu ondoren soilik agertzen den helbide baterako lotura batek isil-isilik huts egiten baitu abioan.

Egiaztatu sarbide pribatua eta ukatutako bide publikoa

Egin izeneko eskaera berri bat bezero baimendutik, aplikazioaren beraren identitate-egiaztapenak osorik direla. Gero probatu zerbitzu bera tunelaren kanpotik eta egiaztatu ez duela erantzuten. Izen pribatu bat erosotasuna da, ez murrizketa, eta helbide publikora oraindik lotuta dagoen entzule bat oraindik agerian dago. Azken egiaztapen hori da berrikuspen gehienek saltatzen dutena.

Irakurri loturak eta iragazkiaren egoera, ez erabiltzaileek jasotako ostalari-izena. Agerpena socketaren propietatea da, ez izenarena. Bereizketa horrek DNS aldaketa guztiak gainditzen ditu.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Barneko eskaerak orria itzultzen duenean eta kanpoko eskaerak denbora agortzen duenean, zerbitzuak nahitako bide pribatu bat du eta garraioa irisgarri mantentzen da. Kanpoko eskaerak oraindik erantzuten duenean, entzulea edo argitaratutako edukiontzi-sarrera bat estutu behar da norbaitek zerbitzua barneko soilik gisa deskribatu aurretik.