Cén fáth a bhfreagraíonn freastalaí taobh thiar de VPN tríd an tollán

Teipeann naisc isteach chuig óstach a ritheann cliant VPN freisin ar bhealach an-sonrach: sroicheann an crannchur, freagraíonn an daemon, agus ní fhaigheann an cliant aon rud ar ais. Níl aon rud ag bacadh an phoirt. D'fhág an freagra tríd an tollán, mar is leis an tollán an bealach réamhshocraithe agus ródaíonn an eithne freagraí de réir cinn scríbe, ní de réir cuimhne ar an áit as ar tháinig an t-iarratas. Tá an daemon ceart go leor agus tá an port oscailte.

Ródaítear an freagra, ní chuimhnítear air

Cuireann cliant VPN a shuiteálann bealach réamhshocraithe iontráil leis a sháraíonn geata LAN, bíodh sé de réir méadrach nó tríd an spás a roinnt ina dhá leath níos sonraí. Roghnaíonn paicéid amach comhéadan an tolláin anois. Ní fhiafraíonn an eithne riamh cá dtagadh an paicéad a bhfuiltear ag freagairt air ó cheart. Míníonn an t-aon fhágáil sin gach siomptóm a leanann.

Ródaítear an treo chun tosaigh de réir cinn scríbe, agus an treo ar ais freisin. Seoltar an freagra chuig cliant poiblí, a iompróidh an tollán go sásta. Faigheann an taobh i bhfad an paicéad nach leis an fhoinse é, caitheann sé amach é, agus fanann an cliant bunaidh go dtí go dtéann an t-am in éag.

Is féidir le scagadh dian ar an chosán droim ar ais an paicéad isteach a ligean thar aird sula léann an daemon riamh é. Féach ar an chuntar sin ar dtús, mar tá cuma chomhionann ar scaoileadh scagaire agus ar mheancóg ródaithe ón taobh amuigh.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Taispeánann an chéad ordú cén bealach réamhshocraithe a bhuann faoi láthair. Tuairiscíonn an dara ceann an bhfuil scagadh dian i bhfeidhm go domhanda nó de réir comhéadain, agus taispeánann an tríú ceann aon riail slabhra seolta a d'fhéadfadh a bheith i gceist.

Trí bhealach chun an bealach fillte a choimeád

Is é an ceann scríbe seirbhíse a eisiamh ón tollán an rogha is cúinge. Coinníonn bealach óstach atá dírithe ar gheata LAN, móide daemon atá ceangailte leis an seoladh fisiceach in ionad gach seoladh, an t-aon sreabhadh sin lasmuigh den tollán. Tá an t-athrú áitiúil agus éasca le cur ar gcúl.

Is é ródú beartais an freagra ginearálta. Roghnaíonn riail atá bunaithe ar sheoladh na foinse nó ar mharc balla dóiteáin tábla a bhfuil a réamhshocrú dírithe ar gheata WAN, agus leanann naisc an óstaigh féin ag úsáid an tolláin. Coinnigh an tosaíocht soiléir ionas nach féidir an riail a scáthú níos déanaí.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Tógann an chéad dá ordú an bealach malartach do fhreagraí a bhfuil a bhfoinse sa seoladh poiblí. Fiafraíonn an tríú ceann den eithne cén bealach a thógfadh an fhoinse agus an ceann scríbe sin go beacht, agus mar sin deimhníonn tú go bhfuil aon éifeacht ag an riail.

Is é aistriú foinse an tríú rogha agus an t-aon cheann a mhaireann roimh ródaire a dhéanann NAT cheana féin os comhair na seirbhíse. Caithfidh an freagra filleadh ar an ródaire sin, agus baineann mascáil chuig comhéadan WAN é sin amach agus an cliant á cheilt ó logaí na seirbhíse. Is diagnóis é an bealach réamhshocraithe a athsholáthar de láimh tar éis nascadh, mar scríobhann an cliant an tábla arís ag an chéad athnasc eile.

Nuair a ródaíonn an bosca do LAN freisin

Tá an chliseadh céanna le feiceáil hop amháin níos faide amach nuair a ródaíonn an t-óstach do ghléasanna taobh thiar de. Seoltar nasc isteach chuig gléas inmheánach arb é an tollán a aon bhealach fillte, agus sroicheann an freagra an cliant seachtrach ó sheoladh an tsoláthraí. Tá an gléas inmheánach ag obair i gceart an t-am ar fad.

Feiceann rianú na nasc ansin freagra do shreabhadh nár thaifead sé riamh agus caithfidh sé amach é. Seachadann aistriú cinn scríbe an nasc isteach chuig an ghléas, agus tugann aistriú foinse le feiceáil go dtagann an freagra ón ródaire féin.

Is é bealach beartais a choinníonn an port seolta ar an WAN agus a úsáideann trácht an ródaire féin an tollán an comhionannas is glaine. Gan aistriú foinse seoltar an freagra chuig an cliant seachtrach, agus níl aon bhealach ag an ghléas inmheánach chuig an seoladh sin ar chor ar bith.

Trí phromhadh a dhealaíonn na cúiseanna

Rith trí phromhadh: nasc isteach sa bhosca ón idirlíon, nasc amach as chuig óstach poiblí, agus cuardach ainm. Nuair nach n-aontaíonn an chéad dá cheann, is é an bealach fillte atá ciontach. Nuair a theipeann ar ainmneacha sa dá threo, is locht eile é an réiteoir nach roinneann ach an tollán.

Ceartaigh ceist an ródaithe ar dtús, ansin féach ar ainmneacha. Is é meascadh an dá rud an bealach a gcuirtear an milleán ar fhreastalaí atá ag obair as réiteoir briste.

Scríobh síos cén comhéadan a ainmníonn an eisceacht agus coinnigh an chumraíocht faoi rialú leaganacha. Sáraíonn riail a scríobhtar i gcoinne comhéadain a athainmnítear tar éis uasghrádú inniu agus teipeann sí tar éis an chéad atosaigh eile.