Tollán suas, gan idirlíon: cá stopann an tras-seoladh

Ceanglaíonn an cliant, iompraíonn an tollán ping chuig an ngeata, agus ní fhreagraíonn aon rud taobh thall de. Tá an riocht sin gnáth do gheata nár ceapadh riamh ach chun rochtain a thabhairt ar líonraí cosanta, agus is locht é ar cheann a fhógraítear mar bhealach amach tolláin iomláin. Sula n-athraíonn tú rialacha, deimhnigh cén tseirbhís a gealladh. Ansin lean aon iarratas poiblí amháin trí na ceithre áit inar féidir leis stopadh. Socraíonn aon iarratas amháin agus aon ghabháil phacáid níos mó ná leathanach de bhuille faoi thuairim.

Deimhnigh arbh é an bealach amach chuig an idirlíon an dearadh riamh

Ní sheolann próifíl tolláin scoilte ach na fo-líonraí cosanta isteach sa VPN, mar sin leanann brabhsáil phoiblí ar an nasc áitiúil agus ní shroicheann sí an geata riamh. Suiteálann próifíl tolláin iomláin bealach réamhshocraithe sa tollán, rud a fhágann go bhfuil an geata freagrach as an gcosán iomlán. Tá an dá cheann ina ndearaí dlisteanacha, agus cruthaíonn meascadh eatarthu tuarascáil lochta in áit nach bhfuil aon cheann ann. Léigh na bealaí a fhógraíonn an cliant sula dtástáil tú aon rud eile, mar freagraíonn an tábla bealaí don cheist a chuireann an ticéad mícheart de ghnáth.

Ní hé an rud a shuiteálann an cliant i gcónaí an rud a bhíonn i gceist ag an bpróifíl. Is féidir le bealach áitiúil le méadrach níos ísle bealach brúite a shárú, agus iompraíonn cliant a choinníonn a bhealach LAN agus a chuireann bealach réamhshocraithe leis mar thollán scoilte don fho-líonra sin.

Lean aon iarratas poiblí amháin

Roghnaigh aon cheann scríbe amháin agus lean é ón gcliant amach. Ar an gcliant, seiceáil an roghnaíonn an pacáid an tollán i ndáiríre agus cén seoladh áitiúil a úsáideann sé mar fhoinse. Ansin seiceáil an geata: an sroicheann an phacáid, agus an bhfágann sí an comhéadan poiblí. Baineann gach ceann de na freagraí sin catagóir iomlán cúise amach.

ip route get 1.1.1.1
ip -4 addr show tun0
conntrack -L | grep 1.1.1.1
tcpdump -ni any host 1.1.1.1

Mura bhfeiceann an geata an phacáid riamh, tá bealach an chliaint nó rogha an tolláin mícheart. Má shroicheann sí agus mura bhfágann sí, tá an fhadhb ar an ngeata, agus tá feidhm ag an trí sheiceáil atá fágtha.

Seiceáil tras-seoladh, bealach agus aistriúchán

Tá an treoir tras-seolta a thagann le strongSwan infheidhme maidir le geata d'aon chineál tolláin: caithfear cead a thabhairt don eithne pacáidí a bhogadh idir comhéadain, agus caithfidh bealach inúsáidte a bheith dírithe i dtreo an idirlín. Ansin caithfidh polasaí an bhalla dóiteáin an trácht a cheadú, agus caithfidh an seoladh foinse a bheith ar cheann ar féidir leis an taobh poiblí freagra a thabhairt air. Ní fhaigheann seoladh príobháideach cliaint a sheoltar gan athrú chuig an idirlíon freagra riamh.

sysctl net.ipv4.ip_forward
ip route get 1.1.1.1
nft list ruleset | grep -A6 forward
sysctl net.ipv4.conf.all.rp_filter

Aistriúchán foinse an píosa atá ar iarraidh de ghnáth. Leis sin athscríobhann an geata foinse an chliaint chuig a sheoladh poiblí agus leanann sé an sreabhadh; gan é níl áit ar bith ag an bhfreagra le dul. Cuireann ardáin néil dara teorainn leis, áit ar féidir le tábla bealaí nó grúpa slándála an áisc aon trácht a dhiúltú a cheadaíonn balla dóiteáin an aoi. Tá sé sin furasta a chailleadh mar tá an córas aoi le feiceáil go bhfuil sé cumraithe i gceart ón taobh istigh.

Is féidir le scagadh an chosáin droim ar ais i socrú neamhshiméadrach pacáidí bailí a chaitheamh amach freisin. Léigh an t-áiritheoir ar an riail sin seachas glacadh leis go bhfuil sé ceart, mar diúltaíonn socrú docht ar an gcomhéadan poiblí do thrácht a thagann ar chosán difriúil ón gceann a thuarann an tábla bealaí.

Is dhá fhreagra dhifriúla iad cosán an fhreagra agus an réititheoir

Féach ar an bhfreagra freisin, ní ar an iarratas amháin. Má théann an t-iarratas amach aistrithe agus má fhilleann an freagra ar an sreabhadh aistrithe, oibríonn an tras-seoladh fiú nuair a theipeann ar an bhfeidhmchlár fós, agus baineann an chéad imscrúdú eile leis an bhfeidhmchlár nó le DNS.

Is cruthúnas é suíomh a thugann earráid HTTP ar ais go n-oibríonn tras-seoladh chuig an idirlíon. Is fadhb réititheora é ainm nach réitítear agus rochtain trí sheoladh ag obair, ní fadhb NAT.

Tar éis ceartúchán beacht, aththástáil an cliant móide aon acmhainn phríobháideach atá srianta d'aon ghnó. Níor cheart go leathnódh tabhairt rochtana idirlín go ciúin chuig gach líonra atá ceangailte leis an ngeata.