Cuirtear raon leis an riail SNAT OpenVPN sula mbrisfidh sí nginx

Tagann dhá mhainneachtain ón gcineál céanna óstaí i gcónaí. Sa chéad cheann, déantar na cliaint a fhíordheimhniú agus ansin ní shroicheann siad aon rud thar an tollán. Sa dara ceann, éiríonn an VPN agus stopann suíomh gréasáin an fhreastalaí féin ag freagairt, rud is mó imní mar go bhfeictear é mar dhamáiste cliathánach. Ar VPS atá bunaithe ar choimeádáin tagann an dá rud ar ais de ghnáth chuig an ngearrliosta céanna seiceálacha, agus tá an t-ord tábhachtach: an gléas ar dtús, an t-aistriúchán sa dara háit, an raon sa tríú háit.

Deimhnigh gur féidir leis an gcoimeádán gléas tun a chruthú

Ní thábhachtaí aon rud eile mura féidir leis an gcomhéadan tolláin a bheith ann. Seiceáil go bhfuil /dev/net/tun i láthair agus go n-éiríonn le cruthú gléis thástála, mar go ndíghníomhaíonn go leor soláthraithe tun taobh istigh de choimeádáin de réir réamhshocraithe. Ní chúitíonn aon obair firewall gléas nár cruthaíodh riamh.

Mura bhfuil an gléas ann, ní féidir ach leis an óstach nó leis an soláthraí é a chumasú. Is minic go mbíonn plean eile níos saoire ná snáithe tacaíochta oscailte a mhaireann seachtain. Deimhnigh é seo sula léann tú aon líne amháin de loga OpenVPN. Seachas sin caithfidh tú an tráthnóna ag tiúnadh rialacha nach bhfeicfidh riamh paicéad.

Cinntear cad a dhéanann MASQUERADE ar an gcomhéadan seo

Ar ghnáthmheaisín fíorúil is é an ghnáthriail eisithe POSTROUTING MASQUERADE as an bpríomhchomhéadan. I gcoimeádán OpenVZ is minic gurb é an gléas infheicthe venet0, comhéadan fíorúil arna bhainistiú ag an óstach seachas NIC ródaithe, agus ní iompraíonn MASQUERADE é féin ansin i gcónaí mar a ghlacann teagaisc leis.

Is é an fhoirm indéanta aistriúchán follasach chuig an seoladh a shroicheann cliaint cheana féin, agus an t-aistriú ceadaithe sa dá threo. Tá an oiread céanna tábhachta ag baint le pool na cumraíochta freastalaí a ionadú agus atá le seoladh a ionadú. Léigh gach líne sula gcuireann tú isteach í.

iptables -t nat -A POSTROUTING -o venet0 -s 10.8.0.0/24 -j SNAT --to-source 203.0.113.10
iptables -A FORWARD -i tun0 -j ACCEPT
iptables -A FORWARD -o tun0 -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

Gan na rialacha aistrithe tarlaíonn an t-aistriúchán fós agus diúltaíonn an eithne aistriú fós. Cruthaíonn an meascán sin an staid mhearbhallach ina n-ardaíonn áiritheoirí ar an riail NAT agus nach bhfaigheann an cliaint faoi ghlacadh aon rud. Caithfidh an dá líne FORWARD seasamh freisin roimh aon riail drop leathan sa slabhra céanna. Is cuid den chumraíocht é an t-ord, ní sonra cur chun feidhme.

Cuirtear raon leis an riail go haon phool amháin agus aon chomhéadan amháin

Tá cúis eile leis an dara siomptóm: riail POSTROUTING gan srian foinse ná srian eisithe. Athscríobhann a leithéid gach paicéad a fhágann an t-óstach.

Iompraíonn seirbhísí a bhíonn ag brath ar an mbunfhoinse iad féin go dona ansin. Féadann freastalaí gréasáin taobh thiar de sheachfhreastalaí áitiúil stopadh ag freagairt, agus ní athraíonn aththosú aon rud mar go bhfuil an riail fós ar an gcosán. Bíonn tionchar freisin ar an trácht a sheolann an t-óstach chuig a sheoladh poiblí féin, agus is é sin an fáth a bhféadfadh an mhainneachtain breathnú cosúil le fadhb DNS nó teastais seachas fadhb firewall. Beagnach cinnte gur cuireadh an riail leis chun an chéad siomptóm a shocrú.

Is é an réiteach an meaitseáil a chúngú chuig pool an tolláin agus an comhéadan eisithe, agus ansin riail amháin in aghaidh an phool a chur leis in ionad riail amháin a leathnú chun roinnt a chlúdach.

Déan na rialacha buan agus faigh amach cé eile a bhfuil siad acu

Imíonn rialacha a cuireadh leis de láimh nuair a atosaítear, mar sin sábháil iad le iptables-save nó bainistigh iad trí netfilter-persistent san áit a bhfuil sé suiteáilte. Deimhnigh go ritheann an t-athchóiriú sula dtosaíonn OpenVPN. Ansin atosaigh uair amháin d’aon ghnó seachas an bhearna a aimsiú le linn eachtra.

Ar óstach coimeádán, deimhnigh freisin go bhfuil an comhad marthanachta i stóras coimeádáin in-scríofa agus nach n-ionadaíonn an soláthraí an scagadh ag am tosaithe. Bainistíonn roinnt ardán beartas lasmuigh den choimeádán, áit a ndéantar neamhaird de rialacha áitiúla nó a dtagann siad salach ar rialacha an óstaigh féin.

Fíoraigh le háiritheoirí agus le haon sreabhadh a gabhadh

Ó chliaint atá nasctha, seiceáil an seoladh poiblí a thuairiscíonn seirbhís sheachtrach. Má mheaitseálann sé le seoladh an fhreastalaí, oibríonn an t-aistriúchán; mura ndéanann, tá an paicéad ag fágáil ar chosán eile nó gan fágáil ar chor ar bith. Ansin tástáil seirbhís atá á hóstáil ar an bhfreastalaí agus ceann ar an idirlíon poiblí, mar go dtógfaidh siad cosáin éagsúla tríd an tsraith rialacha céanna.

Ar an bhfreastalaí, léigh áiritheoirí paicéad ar na rialacha NAT agus FORWARD le iptables -t nat -L -v -n agus féach ar aon sreabhadh ina ghabháil. Má fheictear seoladh an chliaint sa ghabháil agus nach leanann aon fhreagra, tá an bhearna ar an mbealach ar ais nó i scagadh an tsoláthraí, ní i bpróifíl an chliaint. Cuir an fhoinse a gabhadh i gcomparáid leis an seoladh a n-aistríonn an riail chuige, mar ciallaíonn mí-oiriúnú gur mheaitseáil riail eile ar dtús. Socraíonn aon sreabhadh amháin a breathnaíodh níos mó ná leathanach de léamh cumraíochta.

Coinnigh an pool, an seoladh aistrithe agus ainm an chomhéadain le chéile sa taifead athraithe. Aistríonn riail atá ceart do phool amháin an chéad cheann eile go dona.