Cén seoladh foinse a logáilfidh NGINX do chliant VPN?

Taispeántar trí sheoladh cliaint i socrú NGINX agus OpenVPN ar an óstach céanna, ceann do gach cosán ar féidir le hiarratas a thógáil. Bíonn cuma dhifriúil ar bhrabhsálaí a shroicheann seoladh an tunéil, brabhsálaí a shroicheann an seoladh poiblí, agus clár a fhágann trí chosán idirlín an gheata ag an socóg éisteachta. Socraigh cén cosán atá á fheiceáil agat sula léirmhíníonn tú an líne loga. Braitheann an cinneadh ar an gceann scríbe a d'úsáid an cliant, ar an eisceacht atá aige don chríochphointe VPN seachtrach, agus ar cibé an bhfuil rud éigin ag aistriú an phaicéid ar an mbealach.

Socraigh de réir ceann scríbe, ní de réir cé hé an t-úsáideoir

Tosaigh leis an seoladh chuig a seoladh an t-iarratas, mar is é sin an seoladh a roghnaíonn an cosán. Sroicheann iarratas chuig seoladh tunéil an óstaigh an comhéadan tunéil le seoladh inmheánach an chliaint mar fhoinse. De ghnáth sroicheann iarratas chuig seoladh poiblí an óstaigh an comhéadan atá dírithe ar an idirlíon le seoladh poiblí an chliaint, fiú nuair a bhíonn tunéal bunaithe ag an ríomhaire glúine céanna ag an nóiméad sin. Dá bhrí sin is airí de chosán an phaicéid é ballraíocht i linntreog VPN, ní airí a leanann an t-úsáideoir.

Is fiú an tríú ró sin a sheiceáil ar dtús nuair a thagann úsáideoir VPN chun solais sa loga le seoladh nach bhfuil baint ar bith aige leis an tunéal. Míníonn sé freisin cén fáth ar féidir le beirt úsáideoirí ar an bpróifíl chéanna iontrálacha difriúla a chruthú: tá a líonraí rochtana féin difriúil, agus ní fhorscríobhann aon rud sa tunéal é sin.

Cén fáth a gcruthaíonn an críochphointe seachtrach dara cosán poiblí

Caithfidh an cliant seoladh poiblí an gheata a shroicheadh chun an tunéal a bhunú, mar sin caithfidh bealach chuig an seoladh sin a bheith ann lasmuigh den tunéal. Nuair a atreoraíonn cliant an trácht go léir isteach, coinníonn cur i bhfeidhm ciallmhar bealach óstach soiléir do sheoladh poiblí an fhreastalaí chun tunéal a sheachaint a bhraitheann air féin. Níl an eisceacht sin roghnach maidir le seirbhísí, mar sin leanann aon iarratas chuig an seoladh poiblí céanna í, lena n-áirítear iarratas brabhsálaí chuig suíomh a óstáiltear ar an ngeata.

Is é seo an mheicníocht atá taobh thiar de fhormhór na dtuairiscí mearbhallacha sa réimse seo, agus baineann sí le cur i bhfeidhm an chliaint seachas leis an bhfreastalaí. Dá bhrí sin féadann beirt chliaint a bhfuil próifílí comhionanna acu iompar go difriúil. Má bhaintear an eisceacht chun an loga a »dheisiú«, titeann an tunéal léi, mar sin coinnigh í agus déan dearadh timpeall uirthi.

Léigh an tsocóg, an tábla agus formáid an loga le chéile

Réitíonn trí bhreathnóireacht cén cosán atá á fheiceáil agat: cá n-éisteann an tsocóg, cén comhéadan a fhreagraíonn an ceann scríbe, agus cad a thaifeadann formáid an loga i ndáiríre. Má tá an t-éisteoir ceangailte le seoladh an tunéil amháin, ní féidir le hiarratas poiblí é a shroicheadh ar chor ar bith, rud a chuireann dhá ró as an áireamh láithreach. Má fhilleann an chuardach don chliant an gléas tunéil, tháinig an t-iarratas le foinse inmheánach agus ba cheart don loga é sin a thaispeáint.

ss -lntp 'sport = :443'
ip route get 10.24.0.20
ip route get 192.0.2.44

Ansin léigh an fhormáid seachas an líne. Taifeadann réimse a chothaítear le ceanntásc seolta ar aghaidh éileamh, ní piara socóige, agus ní bhíonn tábhacht leis an éileamh ach amháin nuair is seachfhreastalaí iontaofa an piara láithreach. Réitíonn scríobh an dá luach sa loga argóintí níos déanaí, mar is fíricí difriúla an piara láithreach agus an seoladh ionadaíoch agus ní tháinig ach ceann amháin díobh ón líonra.

log_format tunneled '$remote_addr $realip_remote_addr $request $status';
grep -n 'log_format' /etc/nginx/nginx.conf

Roghnaigh an pointe iontrála is mian leat agus déan an DNS a ailíniú

Má tá an suíomh le bheith tríd an tunéal amháin, tabhair ainm dó a réitíonn chuig seoladh an tunéil do chliaint VPN agus forfheidhmigh beartas ar an tsocóg éisteachta. Is cinneadh ródaithe é freagra DNS scoilte a thugann 10.24.0.1 don ainm inmheánach, é gléasta mar mhionsonra réitigh ainmneacha. Má chaithfidh an suíomh a bheith poiblí freisin, coinnigh dhá ainm nó dhá chalafort agus lig don loga a rá cé acu a d'fhreastail ar an iarratas.

Leanann rialacha ceadaithe an loighic chéanna. Ní údaraíonn ceadú linntreog an tunéil iarratas poiblí, agus ní líonfaidh sé seoladh inmheánach ar nasc a tháinig thar an idirlíon. Má mheasctar an dá phointe iontrála faoi aon ainm amháin, déantar de fhoinse an loga fo-iarsma de ródú an chliaint seachas de rogha dearaidh.

Fíoraigh an cosán, ansin an beartas

Deimhnigh an cosán le gabháil ar an ngeata agus le hiarratas atá faoi do smacht. Taispeánann gabháil ar an ngléas tunéil agus ceann ar an gcomhéadan poiblí cé acu a d'iompair na bearta, agus insíonn ord na bpaicéad duit ar tharla aistriú eatarthu.

tcpdump -ni tun0 port 443 -c 5
tcpdump -ni eth0 port 443 -c 5

Ansin fíoraigh rochtain sa dá threo: oibríonn an pointe iontrála ainmnithe beartaithe don chliant beartaithe, agus diúltaítear do chosán poiblí neamhcheadaithe seachas é a bheith mall amháin. Cruthaíonn suíomh ginearálta macalla IP rud éigin faoi bhealach amach idirlín an gheata agus rud ar bith faoin suíomh seo ar an óstach céanna. Nuair nach n-aontaíonn leathanach agus WebSocket, déan comparáid idir a URLanna, a dteaghlaigh seoltaí agus a bhfreagraí DNS sula ndéanfaidh tú teagmháil le cumraíocht an fhreastalaí.