Web-palvelin katoaa, kun VPN-asiakas yhdistää

Palvelu, joka katoaa sillä hetkellä, kun VPN-asiakas yhdistää, ei yleensä ole estetty, vaan se vastaa väärän liitännän kautta. Pyyntö saapuu fyysiselle verkkokortille, taustaprosessi kirjoittaa vastauksen ja reititystaulu antaa vastauksen tunnelille, koska tunneli on ottanut oletusreitin haltuunsa. Etäasiakas ei koskaan näe vastausta avaamaansa yhteyteen, joten se odottaa ja ilmoittaa sitten aikakatkaisusta. Mikään palomuurisääntö ei ole missään kohtaa tuota ketjua mukana.

Oire: pyynnöt sisään, vastaukset ulos väärästä ovesta

Tuntomerkki on saapuva yhteys, joka epäonnistuu, kun kaikki muu isännässä toimii. Toinen vihje on isäntä, joka on tavoitettavissa lähiverkosta mutta ei internetistä, tai sellainen, joka toimii siihen asti, että tunneli yhdistää uudelleen, ja sitten pysähtyy. Kummassakin tapauksessa menosuunta toimi ja paluusuunta ei, mikä viittaa reitityksen epäsymmetriaan eikä käytäntöön.

Vahvista se seuraamalla, minne vastaus menee, älä seuraamalla, miten pyyntö saapuu.

Kaappaa samanaikaisesti fyysiseltä liitännältä ja tunnelilaitteelta. Jos pyyntö näkyy fyysisellä liitännällä ja vastaus tunnelilla, diagnoosi on valmis. Vastaus, joka ei näy missään, tarkoittaa, ettei palvelu koskaan hyväksynyt yhteyttä, mikä on erillinen tutkinta erillisellä syyllä.

Kaksi oletusreittiä ja yksi reitityspäätös

Asiakas, joka asentaa oletusreitin, lisää toisen merkinnän, jonka metriikka on parempi kuin lähiverkon yhdyskäytävän. Jotkut asiakkaat asentavat sen sijaan kaksi puolialueen reittiä, jotka kattavat saman tilan täsmällisemmin ja voittavat haun samalla tavalla. Kumpikin tekniikka jättää tavalliset lähtevät paketit valitsemaan tunnelin liitännän.

Tuo valinta tehdään vain kohteen perusteella. Ydin ei kysy, mistä paketti tuli, ellei käytäntösääntö käske sitä. Niinpä vastaus julkiseen asiakasosoitteeseen annetaan tunnelille, jonka toinen pää vastaanottaa paketin, jonka lähdeosoite ei ole sen oma, ja hylkää sen tai välittää sen jonnekin hyödyttömään. Linuxissa tiukka käänteisen polun suodatus voi myös pudottaa alkuperäisen pyynnön ennen kuin palvelusi edes näkee sen, mikä näyttää ulkopuolelta samalta. Molemmat oireet tulevat samasta puuttuvasta yhteydestä saapuvan virtauksen ja sen vastauksen välillä.

Tunneli käyttäytyy oikein koko ajan. Sitä käskettiin kantamaan oletusreitti, ja se tekee juuri niin.

Korjaa paluupolku rikkomatta tunnelia

Korjaukseen on kolme kestävää muotoa, ja valinta riippuu siitä, kuinka paljon isännän omaa liikennettä pitäisi jäädä tunnelin sisään. Palvelun kohteen tai portin ohittaminen on pienin muutos. Käytäntöpohjainen reititys lähteen tai merkin mukaan on tarkin. Lähdekäännös on karkein ja helpoin selittää kahden vuoden päästä.

Valitse sen mukaan, mitä isännän on tehtävä, ei sen mukaan, minkä katkelman löysit ensin.

Kohteen ohittaminen sopii palvelulle, jolla on vakaa julkinen osoite, ja taustaprosessin sitominen fyysiseen osoitteeseen kaikkien osoitteiden sijaan tekee siitä ohituksesta turvallisemman. Käytäntösääntö, joka valitsee taulun lähteen perusteella, pitää isännän omat yhteydet tunnelin sisällä ja palauttaa palvelun vastaukset WAN-yhdyskäytävän kautta. Vastausten maskaaminen WAN-liitännälle pääsee samaan polkuun sillä hinnalla, että asiakkaan osoite piilotetaan palvelun lokeista. Oletusreitin ad hoc -muutos on diagnoosi eikä kokoonpano, koska asiakas kirjoittaa reitit uudelleen joka uudelleenyhdistämisellä.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Kun isäntä reitittää myös takanaan olevaan lähiverkkoon

Yhden hypyn kauempana sama epäsymmetria palaa useampien liikkuvien osien kanssa. Liikenne saapuu reitittimelle internetistä, välitetään sisäiselle laitteelle, ja tuon laitteen ainoa paluupolku on tunneli, joten vastaus saavuttaa alkuperäisen asiakkaan palveluntarjoajan omasta osoitteesta. Yhteyksien seuranta kohtaa sitten vastauksen virtaukselle, jonka alkua se ei nähnyt, ja hylkää sen. Asiakas ei sitä vastoin näe yhtään mitään.

Kaksi muutosta korjaa sen: kohdekäännös, jotta saapuva yhteys saavuttaa sisäisen laitteen, ja lähdekäännös, jotta tuon laitteen vastaus näyttää tulevan reitittimestä itsestään.

Reitittimen laiteohjelmistossa tavallinen ilmaus on käytäntösääntö, joka kiinnittää portin välityksen WAN-puolelle, kun reitittimen oma liikenne kulkee tunnelin kautta. Ilman lähdekäännöstä tuo vastaus on osoitettu ulkoiselle asiakkaalle, eikä sisäisellä laitteella yksinkertaisesti ole reittiä siihen. Testaa kolmea asiaa erikseen, koska ne epäonnistuvat eri syistä: ulkopuolelta saapuva yhteys, se jonka isäntä itse aloittaa, ja nimihaku.