Óstálann an geata a leathanach riaracháin féin: seoladh inmheánach nó poiblí

Freagraíonn leathanach riaracháin ó fhón ar shonraí soghluaiste agus téann sé thar am ó ríomhaire glúine atá ceangailte leis an VPN. Níl aon rud briste sa tollán, mar ní théann an t-iarratas isteach ann riamh. Réitítear an t-ainm óstaigh go dtí seoladh poiblí an gheata, agus níl an seoladh sin inrochtana ach amháin ón taobh amuigh den tollán a chríochnaíonn sé. Chun é sin a shocrú caithfear iontráil phríobháideach a thabhairt don tseirbhís seachas an pointe deiridh seachtrach a bhogadh.

Lódálann an leathanach ón taobh amuigh agus ní tríd an tollán

Tá dhá iarratas éagsúla á gcomparáid. Ó shonraí soghluaiste sroicheann an brabhsálaí an seoladh poiblí go díreach. Ón taobh istigh den tollán réitítear an t-ainm céanna go dtí an seoladh poiblí céanna, agus caithfidh an paicéad anois imeacht tríd an tollán chun seoladh a shroicheadh ar an taobh i bhfad den tollán féin. An t-ainm céanna, an seoladh céanna, dhá shuíomh an-difriúil.

Roghnaíonn bealach cinn scríbe seoladh, ní calafort. Níl a fhios ag aon rud sa tábla ródaithe go bhfuil calafort 443 le haghaidh riaracháin agus gurb é calafort 1194 an t-iompar, mar sin caitear leo araon mar an gcéanna cinn scríbe.

Sin an fáth a n-oibríonn an leathanach uaireanta agus nach n-oibríonn sé uaireanta eile, ag brath ar an ainm agus ar an líonra a d'úsáid an cliant. Fadhb cosáin atá ann seachas fadhb fíordheimhnithe. Fíordheimhníonn an dá chliant go breá.

Coinnigh an pointe deiridh seachtrach inrochtana

Teastaíonn bealach eisceachta ó phróifílí tolláin iomláin don phointe deiridh VPN, agus déanann rogha redirect-gateway OpenVPN sin a dhoiciméadú go beacht: coinníonn an pointe deiridh i bhfad bealach tríd an ngeata a bhí ann roimhe ionas nach ndéanann an tollán ródú isteach ann féin. Bain an eisceacht sin amach agus leanann an t-iompar criptithe an tollán, rud a chríochnaíonn an seisiún i lúb. Sin an eisceacht is cúis leis an seoladh pointe deiridh a bheith fós inrochtana ón taobh istigh den tollán.

Is é an toradh go bhfanann an seoladh poiblí inrochtana ón gcliant, agus sin an fáth freisin gur féidir le hiarratas brabhsálaí chuig an seoladh sin an eisceacht chéanna a leanúint agus imeacht gan dul isteach sa tollán. Tá an eisceacht ag déanamh a cuid oibre, agus is é an t-ainm atá ag déanamh an dochair.

Léigh cinneadh an bhealaigh seachas liosta na gcomhéadan sula n-athraíonn tú aon rud. Priontálann na horduithe thíos an cinneadh seachas an fardal. Rith iad ón gcliant ar theip air.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Má thaispeánann an chuardach bealach an phointe deiridh tríd an ngeata fisiceach, tá an t-iompar ceart agus níl sa leathanach riaracháin ach á sheoladh síos an bealach mícheart. Sin an pointe a dtagann réiteach ainmneacha chun bheith ina shocrú.

Tabhair ainm príobháideach don tseirbhís

Teastaíonn ainm ón tseirbhís a réitítear go dtí seoladh an gheata laistigh den tollán, agus séimeantaic an deimhniúcháin agus an ainm óstaigh a bhfuil súil ag an bhfeidhmchlár leis á coinneáil ag an am céanna. Is é taifead crios príobháideach don ainm riaracháin an gnáthfhreagra, agus fágann sé ainm an iompair gan mhilleadh.

Ná hatreoraigh ainm an iompair chuig an seoladh inmheánach, mar dhéanfadh bunú an tolláin seo chugainn iarracht seoladh a shroicheadh nach bhfuil ann ach laistigh de thollán. Táirgeann an botún sin VPN a oibríonn go beacht uair amháin.

Seiceáil an dá theaghlach seoladh freisin, mar is féidir le taifead AAAA a fágadh ina dhiaidh an brabhsálaí a chur áit nár chlúdaigh an plean príobháideach riamh.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Meaitseáil an polasaí leis an áit a ritheann an próiseas

Sroichtear próiseas dúchasach atá ag éisteacht ar an ngeata trí chonair an ionchuir áitiúil, mar sin is iad an tslabhra ionchuir agus ceangal an soicéid a shocraíonn an nglactar leis an iarratas. Ní chuireann rialacha seolta ar aghaidh ná seoladh ar aghaidh IP ar éisteoir áitiúil freagra a thabhairt. Ceadaigh foinsí an tolláin sa pholasaí ionchuir agus deimhnigh go bhfuil an próiseas ceangailte le seoladh a bhféadfaidh an tollán a shroicheadh.

Leanann coimeádán a fhoilsítear ar chalafort óstaigh bealach difriúil, mar aistrítear an paicéad de réir cinn scríbe agus seoltar ar aghaidh é. Tagann an t-iarratas sin ar pholasaí seolta ar aghaidh an óstaigh agus ar rialacha Docker féin, agus sin an fáth gur féidir le héisteoir dúchasach a oibríonn comhbheith le coimeádán a dhiúltaíonn an calafort céanna.

Tá tábhacht le hordú tosaithe sa dá chás, mar teipeann go ciúin ag am tosaithe ar cheangal le seoladh nach dtagann chun solais ach tar éis don tollán éirí.

Seiceáil rochtain phríobháideach agus cosán poiblí diúltaithe

Déan iarratas nua ainmnithe ó chliant údaraithe agus seiceálacha féiniúlachta an fheidhmchláir féin slán. Ansin triail an tseirbhís chéanna ón taobh amuigh den tollán agus deimhnigh nach dtagann sí freagra. Is áis é ainm príobháideach seachas srian, agus tá éisteoir atá fós ceangailte leis an seoladh poiblí fós nochta. Is é an tseiceáil dheireanach sin an ceann a scipeálann formhór na n-athbhreithnithe.

Léigh na ceangail agus staid an scagaire seachas an t-ainm óstaigh a tugadh do na húsáideoirí. Is airí den soicéad é an nochtadh seachas den ainm. Maireann an t-idirdhealú sin gach athrú DNS.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Nuair a fhilleann an t-iarratas inmheánach an leathanach agus nuair a théann an t-iarratas seachtrach thar am, tá cosán príobháideach d'aon ghnó ag an tseirbhís agus fanann an t-iompar inrochtana. Nuair a thagann freagra fós ón iarratas seachtrach, caithfear an t-éisteoir nó iontráil coimeádáin fhoilsithe a chúngú sula ndéanann aon duine cur síos ar an tseirbhís mar cheann inmheánach amháin.