Wabserver ferdwynt wannear’t de VPN-klient ferbynt

In tsjinst dy’t ferdwynt op it stuit dat in VPN-klient ferbynt, wurdt meastentiids net blokkearre, mar antwurdet troch de ferkearde ynterface. It fersyk komt oan op de fysike netwurkkaart, de daemon skriuwt in antwurd, en de routingstabel jout dat antwurd oan de tunnel, mei’t de tunnel de standertrûte oernommen hat. De fiere klient sjocht nea in antwurd op in ferbining dy’t er iepene hat, dus wachtet er en meldt dan in tiidferrin. Gjinge firewallregel is earne yn dy sekwinsje belutsen.

It symptoom: oanfragen yn, antwurden troch de ferkearde doar út

It teken is in ynkommende ferbining dy’t mislearret wylst al it oare op de host wurket. In oar teken is in host dy’t fan it LAN berikber is mar net fan it ynternet, of ien dy’t wurket oant de tunnel wer ferbynt en dan stoppt. Yn elk gefal die de foarút-rjochting it goed en de werom-rjochting net, wat wiist op routingasymmetry en net op belied.

Befêstigje it troch te sjen wêr’t it antwurd hinne giet, net troch te sjen hoe’t it fersyk oankomt.

Fange tagelyk op de fysike ynterface en op it tunelapparaat. As it fersyk op de fysike ynterface ferskynt en it antwurd op de tunnel, is de diagnoaze klear. In antwurd dat nearne ferskynt betsjut dat de tsjinst de ferbining nea akseptearre hat, wat in apart ûndersyk mei in aparte oarsaak is.

Twa standertrûtes en ien routingbeslút

In klient dy’t in standertrûte ynstallearret, foeget in twadde yngong ta mei in bettere metryk as it LAN-poarte. Guon kliïnten ynstallearje ynstee twa heale-berikrûtes, dy’t deselde romte spesifiker dekke en de syktocht op deselde wize winne. Beide techniken litte gewoane útgeande pakketten de tunelynterface kieze.

Dy kar wurdt allinne troch de bestimming makke. De kearn freget net wêr’t in pakket weikaam, útsein as in beliedsregel it him dat hjit. Sa wurdt it antwurd nei in iepenbier klientadres oan de tunnel jûn, waans fiere ein in pakket krijt mei in boarneadres dat er net besit en it fuortsmyt of earne nutteleas hinne stjoert. Op Linux kin strange tsjinkearde-paadfiltering it orizjinele fersyk ek fuortsmitte foardat jo tsjinst it ea sjocht, wat fan bûten itselde liket. Beide symptomen komme fan deselde ûntbrekkende ferbining tusken in ynkommende stream en syn antwurd.

De tunnel hâldt him trochgeans korrekt. Him waard sein de standertrûte te dragen en dat docht er krekt.

Reparearje it werompaad sûnder de tunnel te brekken

Der besteane trije duorsume foarmen fan reparaasje, en de kar hinget ôf fan hoefolle fan it eigen ferkear fan de host binnen de tunnel bliuwe moat. It útsluten fan de bestimming of it poart fan de tsjinst is de lytste feroaring. Beliedsrouting neffens boarne of mark is it meast sekuer. Boarne-oersetting is it rûchst en it maklikst út te lizzen twa jier letter.

Kies neffens wat de host dwaan moat, net neffens hokker fragmint jo earst fûnen.

It útsluten fan in bestimming past by in tsjinst mei in stabile iepenbiere adres, en it daemon oan it fysike adres bine ynstee fan oan elk adres makket dy útsluting feiliger. In beliedsregel dy’t in tabel neffens boarne kiest, hâldt de eigen ferbiningen fan de host binnen de tunnel wylst er de antwurden fan de tsjinst troch it WAN-poarte weromstjoert. It maskearjen fan antwurden nei de WAN-ynterface berikt deselde paad tsjin de priis fan it ferbergjen fan it klientadres út de logs fan de tsjinst. In ad-hoc feroaring fan de standertrûte is in diagnoaze en net in konfiguraasje, want de klient skriuwt de rûtes by elke werferbining opnij.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Wannear’t de host ek routet foar in LAN efter him

Ien hop fierder komt deselde asymetry werom mei mear bewegende dielen. Ferkear berikt de router fan it ynternet, wurdt trochstjoerd nei in yntern apparaat, en it iennige werompaad fan dat apparaat is de tunnel, dus it antwurd berikt de orizjinele klient fan it adres fan de provider sels. Ferbiningsopspoaring treft dan in antwurd foar in stream wêrfan’t er it begjin net seach, en smyt it fuort. De klient sjocht ûnderwilens hielendal neat.

Twa feroarings reparearje it: bestimmingsoersetting sadat de ynkommende ferbining it ynterne apparaat berikt, en boarne-oersetting sadat it antwurd fan dat apparaat liket te kommen fan de router sels.

Op routerfirmware is de gewoane útdrukking in beliedsregel dy’t de poarttrochstjoering oan de WAN-kant fêstset wylst it eigen ferkear fan de router oer de tunnel giet. Sûnder boarne-oersetting is dat antwurd rjochte oan de eksterne klient en hat it ynterne apparaat gewoan gjin rûte dêrhinne. Test trije dingen apart, want se mislearje om ferskillende redens: in ferbining dy’t fan bûten komt, ien dy’t de host sels begjint, en in nammesykgjen.