Rikkovatko verkkopalvelimesi VPN-asiakasohjelman vastaukset?

Sivusto latautuu samassa verkossa olevasta kannettavasta ja aikakatkaisee kaikkialta muualta, ja isäntä ajaa myös VPN-asiakasohjelmaa omaa lähtevää liikennettään varten. Tämä yhdistelmä tuottaa tietyn vian: saapuva yhteys saapuu, vastaus lähtee väärää polkua ja ulkopuolella oleva asiakasohjelma ei koskaan näe vastausta. Molemmat puolet näkyvät samassa pakettikaappauksessa, joten tapahtumien järjestys on se osa, jonka lukeminen kannattaa.

Lähdeperusteinen reitityssääntö korjaa usein oireen. Se myös tavallisesti vapauttaa enemmän liikennettä kuin sivusto, joka sen aiheutti, ja juuri se on se osa, joka kannattaa ymmärtää ennen säännön tallentamista.

Oire: se vastaa paikallisesti, ei ulkoa

Verkon sisällä vastauksen ei tarvitse ylittää tunnelia, joten sivu latautuu ja palvelu näyttää terveeltä. Ulkoa pyyntö saavuttaa isännän ja vastaus reititetään VPN:ään, jossa kaukopäässä ei ole syytä hyväksyä sitä. Selain näkee aikakatkaisun hylkäyksen sijaan, mikä on yksisuuntaisen polun eikä suljetun portin tunnusmerkki.

Vahvista muoto ennen reitityksen muuttamista: kuuntelija on käynnissä, paikallinen pyyntö onnistuu ja ulkoinen pyyntö ei tuota lainkaan vastausta. Nämä kolme havaintoa yhdessä osoittavat paluupolkuun eivätkä verkkopalvelimen kokoonpanoon. Näin puhdas epäsymmetria on hyödyllisempi kuin mikään lokirivi, koska se sulkee kuuntelijan pois ennen kuin luet yhtäkään virheilmoitusta.

Pidä itsenäinen hallintapolku avoinna työskennellessäsi. Sääntö, joka rikkoo oman SSH-istuntosi, muuttaa kymmenen minuutin korjauksen fyysiseksi käynniksi.

Mitä lähdevalitsin todella täsmää

Linuxin politiikkareitityksessä sääntö kuten from 192.168.50.2 täsmää paketit, joiden lähde on tuo osoite. Se ei koodaa sitä, että paketti jatkaa keskustelua, joka tuli sisään kotireitittimen kautta, eikä se tiedä, mikä prosessi sen loi. Tuon esimerkin osoite on havainnollinen; korvaa se osoitteella, jota isäntäsi todella käyttää. Käsittele riviä väitteenä osoitteista eikä muusta.

Jos valittu taulu tarjoaa tavallisen oletusreitin, jokainen tuon lähteen kantava paketti voi ottaa saman poikkeuksen. Toinen samaan osoitteeseen sidottu palvelu perii sen, ja sovellus, joka sitoo itsensä tarkoituksella tuohon osoitteeseen, perii sen myös. Politiikkasääntöjen viite luettelee lähteen, kohteen, protokollan, portin, merkin ja prioriteetin erillisinä valitsimina, mikä muistuttaa, että pelkkä lähde on karkein saatavilla oleva.

Prioriteetti ratkaisee lopputuloksen. Haut etenevät järjestyksessä ja ensimmäinen tuloksen tuottava taulu voi lopettaa haun, joten liian aikaisin sijoitettu sääntö voi piilottaa tarkemman reitin, jonka myöhempi taulu olisi tarjonnut. Lue koko järjestetty luettelo sen sijaan, että luet vain lisäämäsi rivin. Sääntö, joka ei koskaan täsmää, ei maksa mitään, kun taas liian aikaisin täsmäävä muuttaa hiljaa kaiken taustallaan.

Tarkista paluupolku ja liikenne, jota et tarkoittanut

Lue säännöt ja taulut ja kysy sitten ytimeltä, minkä reitin tietty lähde-kohde-pari ottaisi. Isännästä itsestään testaaminen ei ole sama kuin ulkoa testaaminen, joten tee molemmat.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Hyväksy sitten uusi ulkoinen yhteys ja erikseen pyyntö, jonka on vielä lähdettävä VPN:n kautta. Jos toinen nyt lähtee suoraan, poikkeus on leveämpi kuin ratkaisemasi ongelma, ja tärkeä testi on se, jota et tarkoittanut muuttaa.

Julkisen osoitteen tarkistus selaimessa raportoi vain ne pyynnöt, jotka kyseinen selain teki. Se ei kerro mitään verkkopalvelimen vastauksista, toisen paikallisen sovelluksen lähdevalinnasta tai siitä, mitä hallintaliikenteelle tapahtuu seuraavan VPN-uudelleenyhdistämisen jälkeen.

Päätä, kuinka kapea poikkeus voi olla

Kaksi suunnittelua on puolustettavissa, ja ne tulisi valita tietoisesti. Jos isäntä on olemassa tämän palvelun julkaisemiseksi ja sen lähtevä liikenne on merkityksetöntä, erillinen paikallinen osoite vain WAN-käytännöllä on järkevä ratkaisu edellyttäen, että hyväksyt koko laajuuden. Jos vain tietyt saapuvat yhteydet saisivat täyttää ehdot, osoitteen valinta on liian karkea ja sen eteen kuuluu yhteydet huomioiva suunnittelu.

Kirjaa sopimus, johon tukeudut: julkinen kartoitus, isännän osoite, johon pyyntö toimitetaan, ja polku, jonka vastauksen odotetaan kulkevan. VPN-palveluntarjoajan kautta julkaistu saapuva palvelu on eri sopimus kuin kotireitittimen kautta julkaistu, ja yhdestä esimerkistä kopioitu poikkeus on usein väärä toiselle.

Säilytä käytäntö reitityksen omistavassa komponentissa sen sijaan, että liittäisit komennon käynnistystiedostoon. Sääntöjen järjestys, siivous verkkomuutoksen jälkeen ja toisto uudelleenkäynnistyksen jälkeen kaikkien on kestettävä, ja testaamaton käynnistystiedosto pettää tavallisesti juuri sillä hetkellä, kun et katso. Lopeta hyväksyntätulokseen, jota voit puolustaa: yksi julkaistu sivusto palautettu ja yksi asiaankuulumaton virta muuttumattomana.