Breekt in VPN-klant op jo webserver syn antwurden?

In boarnebasearre rûteregel kin ien publisearre side werstelle wylst er ferkear frijstelt dat jo nea bedoeld hawwe. Lês de selektor foardat jo de útsûndering ferbrede.

De side laded fan in laptop op itselde netwurk en rint fan oeral oars op in tiidferrin, en de host draait ek in VPN-klant foar syn eigen útgeande ferkear. Dy kombinaasje soarget foar in spesifyk defekt: de ynkommende ferbining komt oan, it antwurd ferlit it hostsysteem oer it ferkearde paad, en de klant bûten sjocht nea in antwurd. Beide helten ferskine yn deselde pakketopname, dus de folchoarder fan barrens is it diel dat it lêzen wurdich is.

In boarnebasearre rûteregel ferhelpt it symptoom faak. Hy frijstelt ek meastentiids mear ferkear as de side dy't him feroarsake, en dat is it diel dat it begripen wurdich is foardat jo de regel bewarje.

It symptoom: it antwurdet lokaal en net fan bûten

Binnen it netwurk hoecht it antwurd de tunnel net te krúsjen, dus de side laded en de tsjinst liket sûn. Fan bûten berikt it fersyk de host en wurdt it antwurd yn 'e VPN rûte, dêr't it fiere ein gjin reden hat om it te akseptearjen. De browser sjocht in tiidferrin ynstee fan in wegering, wat it sinjaal is fan in ienrjochtingspaad en net fan in sletten poarte.

Befêstigje de foarm foardat jo it rûten feroarje: de listener is oan, it lokale fersyk slagget, en it eksterne fersyk leveret hielendal gjin antwurd. Dy trije waarnimmings tegearre wize op it werompaad en net op de konfiguraasje fan de webserver. Sa'n skjinne asymmetry is nuttiger as hokker logregel dan ek, want it slút de listener út foardat jo ien flaterberjocht lêze.

Hâld in ûnôfhinklik administraasjepaad iepen wylst jo wurkje. In regel dy't jo eigen SSH-sesje brekt, feroaret in repaasje fan tsien minuten yn in fysyk besyk.

Wat in boarneselektor eins oerienkomt

Yn Linux-beliedsrûten komt in regel lykas from 192.168.50.2 oerien mei pakketten wêrfan de boarne dat adres is. Hy kodearret net it feit dat it pakket in petear ferfolget dat troch de thúsrûter binnenkaam, en hy wit net hokker proses it makke hat. It adres yn dat foarbyld is yllustratyf; ferfang it troch it adres dat jo host eins brûkt. Behannelje de rigel as in bewearing oer adressen en neat mear.

As de keazen tabel in gewoane standertrûte leveret, kin elk pakket mei dy boarne deselde útsûndering nimme. In oare tsjinst bûn oan itselde adres ervet it, en in applikaasje dy't him bewust oan dat adres bynt, ervet it ek. De referinsje foar beliedsregels neamt boarne, bestimming, protokol, poarte, mark en prioriteit as aparte selektors, wat in herinnering is dat de boarne allinnich de rûchste is dy't beskikber is.

Prioriteit beslút de útkomst. Sykjen rinne yn folchoarder en de earste tabel dy't in resultaat leveret kin it sykjen beëinigje, dus in regel dy't te betiid pleatst is kin in mear spesifike rûte ferbergje dy't in lettere tabel levere hawwe soe. Lês de hiele oardere list ynstee fan de iene rigel dy't jo tafoege hawwe. In regel dy't nea oerienkomt kostet neat, wylst ien dy't te betiid oerienkomt stilwei alles efter him feroaret.

Kontrolearje it werompaad en it ferkear dat jo net bedoelden

Lês de regels en de tabellen, freegje dan de kernel hokker rûte in beskaat pear fan boarne en bestimming nimme soe. Testen fan de host sels is net itselde as testen fan bûten, dus doch beide.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Akseptearje dan in nije eksterne ferbining en, apart, in fersyk dat noch altyd troch de VPN fuortgean moat. As de twadde no direkt fuortgiet, is de útsûndering breder as it probleem dat jo oanpakten, en de test dy't taak is, is dejinge dy't jo net fan doel wiene te feroarjen.

In iepenbier adreskontrôle yn in browser rapportearret allinnich de fersiken dy't dy browser dien hat. It seit neat oer de antwurden fan 'e webserver, oer de boarnekar fan in oare lokale applikaasje, of oer wat der bart mei behearderferkear nei de folgjende VPN-werferbining.

Beslis hoe smel de útsûndering wêze kin

Twa ûntwerpen binne ferdigenber en se moatte bewust keazen wurde. As de host bestiet om dizze tsjinst te publisearjen en syn útgeande ferkear net wichtich is, is in tawijd lokaal adres mei in belied allinnich foar WAN in ridlike regeling, mits jo it hiele berik akseptearje. As allinnich beskate ynkommende ferbiningen foldwaan moatte, is adreskar te rûch en heart in ferbining-bewust ûntwerp derfoar.

Skriuw it kontrakt op dêr't jo op fertrouwe: de iepenbiere mapping, it hostadres dêr't it fersyk oan levere wurdt, en it paad dat it antwurd ferwachte wurdt te nimmen. In ynkommende tsjinst publisearre fia in VPN-provider is in oar kontrakt as ien publisearre fia in thúsrûter, en in útsûndering kopiearre út ien foarbyld is faak ferkeard foar de oare.

Hâld it belied yn it ûnderdiel dat it rûten besit ynstee fan in kommando yn in startbestân te plakken. Regelfolchoarder, opromjen nei in netwurkferoaring en werheljen nei in werstart moatte allegear oerlibje, en in net testen startbestân falt meastentiids krekt op it momint dat jo net sjogge. Einigje mei it akseptaasjeresultaet dat jo ferdigenje kinne: ien publisearre side wersteld en ien net-relatearre stream ûnferoare.

Relatearre artikelen