Cén fáth a bhfreagraíonn do sheirbhís phoiblí Linux tríd an VPN ina ionad

Ní chuimhníonn aon rud sa soicéad cén comhéadan a d’iompair an t-iarratas, mar sin is féidir le réamhshocrú VPN lán-tolláin freagra a ghabháil a bhaineann leis an WAN. Níl an tseirbhís ag déanamh neamhaird den chomhéadan isteach; déanann Linux freagra a ghintear go logánta a ródú de réir an chinn scríbe agus an pholasaí foinse. Is féidir le riail bunaithe ar fhoinse freagraí na seirbhíse amháin a sheoladh trí thábla WAN iomlán, agus an gnáth-eiséirí a fhágáil ar an tollán. Fanann an calafort oscailte agus an freagra ag imeacht ar an mbóthar mícheart, agus sin an fáth a bhféachann an tsiomptóm aontaobhach.

An mhíthuiscint: leanann freagraí an comhéadan ar tháinig siad isteach air

Feictear dúinn go bhfuil sé loighciúil gur cheart do phacáid a thagann isteach ar eth0 imeacht ar eth0. Is féidir scagairí pacáide gan staid a scríobh mar sin, agus taispeánann tcpdump ar an taobh isteach an t-iarratas go díreach san áit a bhfuiltear ag súil leis. Ní oibríonn ródú mar sin don trácht a chruthaíonn an t-óstach féin.

Nuair a ghlacann an tseirbhís leis an nasc, is pacáid nua a ghintear go logánta í a freagra. Ceistíonn an t-eithne na rialacha ródaithe do cheann scríbe agus d’fhoinse an fhreagra, agus is freagra bailí go hiomlán é réamhshocrú an VPN. Ní chuimhníonn aon rud sa soicéad cén comhéadan a d’iompair an t-iarratas.

Sin an fáth a bhféachann an tsiomptóm aontaobhach: tagann iarratais isteach, imíonn freagraí. Sin freisin an fáth nach n-athraíonn riail balla dóiteáin don chalafort isteach aon rud. Níl an phacáid á blocáil ar an mbealach isteach; tá sí á ródú áit éigin eile ar an mbealach amach. Lean an freagra le cuardach a bhfuil cáilíocht foinse air agus tiocfaidh an mhalairt bhealaigh chun solais.

Cad a ródaíonn an t-eithne i ndáiríre: an seoladh foinse

Is é an láimhseáil a theastaíonn uait an seoladh logánta a úsáideann an tseirbhís le haghaidh freagraí. Ar óstach a bhfuil an seoladh samplach eth0 192.0.2.10/24 agus an geata 192.0.2.1 air, tá an seoladh sin i láthair ar an gcomhéadan. Ar VM scamall, féadfar an seoladh poiblí a aistriú suas an sruth agus a bheith as láthair ón aoi, mar sin úsáid an seoladh atá ag an óstach i ndáiríre.

Scrúdaigh an staid reatha sula gcuirfidh tú uimhir tábla nó tosaíocht rialach in áirithe. Is féidir le rialacha polasaí atá ann cheana scáth a chur ar riail nua, agus b’fhéidir go bhfuil ródú neamhghaolmhar á iompar ag sean-thábla leis an uimhir chéanna:

ip -4 addr show dev eth0
ip -4 rule show
ip -4 route show table all

Ansin roghnaigh tábla de réir foinse. Meaitseálann an riail freagraí a iompraíonn 192.0.2.10 cheana féin, go díreach an trácht a chríochnaíodh go logánta ar mhaith leat é a dhíolmhú. Ní mheaitseálann trácht a sheoltar ar aghaidh ná pacáidí ó sheoltaí logánta eile.

Tóg tábla fillte iomlán, ní leath réamhshocraithe

Ní leor tábla nach bhfuil ann ach ród réamhshocraithe. Caithfidh an t-eithne an geata a réiteach fós, agus teastaíonn an réimír nasctha sa tábla céanna don réiteach sin. Teipeann ar thábla a bhfuil an réimír sin in easnamh air ag réiteach an gheata fiú nuair a fhéachann a ród réamhshocraithe ceart. Cuir an dá rud leis, ansin dírightear an riail foinse ar an tábla:

ip -4 route add table 100 192.0.2.0/24 dev eth0 src 192.0.2.10
ip -4 route add table 100 default via 192.0.2.1 dev eth0
ip -4 rule add priority 1000 from 192.0.2.10/32 lookup 100

Úsáid an réimír agus an geata cearta seachas an sampla a chóipeáil. Teastaíonn ród nasctha difriúil ó chomhéadan scamall atá cumraithe mar /32 le geata ar an nasc, agus teipeann ar thábla a tógadh ón réimír mhícheart ag an chéad léim. Luann an tréith src an fhoinse is fearr don ród sin; ní thagann sé in áit na rialach foinse.

Tá tábhacht leis an ordú freisin. Déantar riail leathan a bhfuil uimhir thosaíochta níos ísle aici a mheas ar dtús, mar sin caithfear an riail foinse a bhaint amach roimh aon riail a sheolfadh an trácht seo ar ais chuig an bpríomhthábla. Seiceáil na tosaíochtaí le ip rule show tar éis í a chur leis, ní am am tosaithe amháin.

Fíoraigh le cuardach a bhfuil cáilíocht foinse air

Iarr ar an eithne ceann scríbe tástála a ródú ó sheoladh na seirbhíse. Ba cheart go luafadh an freagra eth0 agus geata WAN, ní an tollán:

ip -4 route get 198.51.100.25 from 192.0.2.10

Ansin déan nasc údaraithe nua agus breathnaigh ar an dá threo. Cuardach a roghnaíonn an tábla ceart agus an nasc beo fós ag teip, díríonn sé ar scagadh an bhealaigh chúil nó ar riail balla dóiteáin, ní ar an tábla. Seiceáil na rialuithe sin sula gcuirfidh tú rud ar bith ó mhaith go domhanda.

Cuir na róid agus an riail dheiridh faoin mbainisteoir líonra a shealbhaíonn an comhéadan. Athscríobhann athruithe seoltaí, athnuachan DHCP agus athnaisc VPN staid an eithne ar fad, agus imíonn riail a cuireadh leis de láimh nó díríonn sí ar gheata i léig tar éis na chéad imeachta eile.

Cá stopann an eisceacht seo

Díolmann an riail trácht a críochnaíodh go logánta ó sheoladh foinse amháin. Ní chlúdaíonn sí calafoirt a fhoilsíonn Docker, DNAT ná seirbhísí a sheoltar ar aghaidh tríd an óstach, mar ródaítear na pacáidí sin mar thrácht a sheoltar ar aghaidh agus ní iompraíonn siad foinse logánta an óstaigh ar an mbealach céanna riamh. De ghnáth teastaíonn marc a chuirtear ar an iontráil agus riail a mheaitseálann an marc ó na dearaí sin.

Ní dhéanann sé ach an oiread go dtaispeánfar seoladh poiblí an óstaigh ar an gcomhéadan. Nuair a shealbhaíonn NAT suas an sruth an seoladh sin, caithfidh an freagra imeacht fós ar an mbóthar a bhfuil an NAT sin ag súil leis, agus sin an fáth go gcaithfidh tábla WAN an geata agus an réimír bunaidh a scáthánú seachas raon poiblí buailteach.

Coinnigh an eisceacht doiciméadaithe lena huimhir tábla, tosaíocht a rialach agus an seoladh foinse cruinn. Féadfaidh an chéad athrú eile ar an VPN nó ar an gcomhéadan í a bhriseadh go ciúin, agus is tapúla nóta a ainmníonn na trí luach a sheiceáil ná an tsiomptóm a athaimsiú ó thuarascáil chliaint.

Má fhreagraíonn an tseirbhís fós ar an mbóthar mícheart tar éis don chuardach cáilíochta foinse éirí, déan comparáid idir seoladh foinse an tsoicéid bheo agus an ceann atá sa riail. Is féidir le seirbhís atá ceangailte le seoladh iontaise foinse dhifriúil a roghnú ná an seoladh a thástáil tú, agus is é an neamhréir sin an bhearna atá fágtha.