Cén fáth nach bhfuil cliaint Access Server inrochtana ón LAN

Ceanglaíonn an ríomhaire glúine, tá an tollán suas, agus fanann iarratais chuig seirbhís inmheánach crochta ag an gceangal. Ar an tseirbhís féin tagann an t-iarratas ó sheoladh cosúil le 10.90.0.25, téann an freagra amach i dtreo an gheata réamhshocraithe, agus ní thagann aon rud ar ais, mar níl tuairim ar bith ag an ngeata sin cá bhfuil 10.90.0.25 ina chónaí. Ón taobh eile tá an locht céanna le feiceáil mar óstróir inmheánach nach féidir léi ping a sheoladh chuig cliant atá ceangailte. Is é an dá rud ná aon rud amháin atá ar iarraidh: ród ar ais chuig linne na gcliant VPN, nach féidir ach leis an líonra príobháideach a chur leis.

Léigh an seoladh foinse a fheiceann an tseirbhís

Cinneann an réimse amháin sin gach rud eile. Má fheiceann an tseirbhís inmheánach seoladh na linne, tá Access Server ag ródú seachas ag cur trácht na gcliant i bhfolach, agus caithfear gach freagra a ródú ar ais chuig an linne. Má fheiceann sé seoladh príobháideach an fhreastalaí féin ina ionad, tá an freastalaí ag masquerade agus oibríonn an cosán freagartha cheana féin, ach ar chostas aon fhéiniúlacht in aghaidh an chliaint a chailleadh i logaí agus i rialacha rochtana na seirbhíse.

Déan comparáid idir an dá cheann sula n-athraíonn tú aon rud. Ar an bhfreastalaí, liostaigh comhéadain an tolláin agus a seoltaí; ar an gcliant, deimhnigh cé acu de na seoltaí sin atá aige i ndáiríre; ar an óstróir inmheánach, féach ar cheangal beo.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Is é an t-ordú deireanach an ceann a theipeann sa chás briste: cibé acu a thuairiscíonn sé réimír an tolláin mar rud nach bhfuil inrochtana nó, níos measa, a sheolann sé do gheata réamhshocraithe ar ais, agus sin mar a chríochnaíonn freagraí ar an idirlíon.

Ná glac leis nach bhfuil ach aon linne amháin ann. Is féidir le freastalaí raon dinimiciúil a bheith aige móide mapálacha statacha in aghaidh an úsáideora, agus féadfaidh an seoladh statach a bheith go hiomlán lasmuigh den réimír dhinimiciúil. Mura ródálann tú ach an raon a mheabhraíonn tú, fanann úsáideoirí a bhfuil seoltaí seasta acu briste agus tuairiscíonn gach duine eile go bhfuil an fhadhb réitithe.

Cuir an ród leis san áit a gcinntear an freagra

Baineann an ród leis an ngeata a úsáideann an tseirbhís inmheánach cheana féin, ní leis an tseirbhís, mura ródálann sí a trácht féin. Treoraigh chuig seoladh príobháideach inrochtana Access Server é, luach atá difriúil ó sheoladh an tolláin atá ag cliant.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

I líonra scamall déantar an ráiteas céanna ina iontráil i dtábla ród a bhfuil an t-ásc nó an comhéadan líonra a ritheann an freastalaí mar sprioc aici, agus an tseiceáil foinse agus ceann scríbe díchumasaithe ar an gcomhéadan sin. Tabhair faoi deara cad nach ndéanann an iontráil sin: ní deontas rochtana é ród, mar sin caithfidh grúpaí slándála, ACLanna líonra agus balla dóiteáin an óstróir an trácht a cheadú fós.

Déan marthanach é, agus coinnigh méideanna na linne macánta. Teastaíonn dhá ród ó dhá linne neamh-chóngarach, agus cruthaíonn linne a fhásann thar a réimír chumraithe go ciúin cliaint nach bhfuil aon áit le dul ag a bhfreagraí. Má tá smacht agat ar raonta na linne, roghnaigh achoimre ar féidir leat a ródú uair amháin agus a fhágáil ina dhiaidh sin.

Caithfidh seoladh ar aghaidh agus scagairí a bheith ar aon dul leis an ród

Níl sa ródú ach leath den chosán. Caithfear cead a thabhairt don fhreastalaí seoladh ar aghaidh idir an tollán agus an comhéadan príobháideach, rud a chiallaíonn ar Linux net.ipv4.ip_forward móide slabhra seolta ar aghaidh a cheadaíonn an péire comhéadan, agus ar óstróir chruaite de ghnáth riail shainráite do gach treo.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Míníonn scagadh stáitseach siomptóm a sheolann daoine síos an cosán mícheart. Ní theastaíonn riail ionghabhála nua ó fhreagra laistigh de shreabh atá bunaithe, mar sin ní bhíonn ceangal a fhanann tar éis an SYN-ACK á bhlocáil ag riail ghlactha atá ar iarraidh; tá sé á ligean thar a chéile nó á ródú go mícheart. Coinnigh an t-idirdhealú sin, mar scarann sé athrú ródaithe ó athrú balla dóiteáin.

Is é an leagan níos ciúine den fhadhb chéanna iad cosáin fillte neamhshiméadracha. Má shroicheann dhá ród an linne agus má thógann an freagra an ceann a fhágann comhéadan difriúil ón gceann ar tháinig an t-iarratas air, scriosann scagadh dian cosáin droim ar ais é agus ní theipeann an tsreabh ach do roinnt cliant.

Ródaithe nó masqueraded: roghnaigh go feasach

Caomhnaíonn mód ródaithe seoladh linne an chliaint ag an tseirbhís, rud a fhágann gur féidir logáil agus beartas in aghaidh an chliaint, agus mar mhalairt teastaíonn ród na linne ó gach líonra inmheánach a chaithfidh freagra a thabhairt do chliant. Baineann mód masqueraded an ceanglas sin toisc go bhfilleann freagraí ar an bhfreastalaí, ach ní féidir leis an tseirbhís a thuilleadh cliant amháin a aithint ó chliant eile agus ní féidir léi aon rud a thionscnamh i dtreo cliaint ar leith.

Má athraítear an t-iompar sin ar fhreastalaí beo, cailltear seisiúin atá ann cheana, mar sin tástáil le cliant amháin agus sreabh amháin ar dtús. Más é an t-athrú an freagra ceart, is cinneadh cumraíochta ar an bhfreastalaí é, ní rud a sheachnaítear trí róid a chur leis a éireoidh gan ghá.

Tasc ar leith is ea fo-líonra taobh thiar den chliant

Gléas a shroicheadh ar LAN féin an ríomhaire ghlúine ní hé an rud céanna é agus seoladh tolláin an ríomhaire ghlúine a shroicheadh. Teastaíonn sé go ngníomhódh an cliant mar gheata fo-líonra: líonra fógartha ar thaobh an chliaint, seoladh ar aghaidh cumasaithe i gcóras oibriúcháin an chliaint, agus ród ar an LAN sin ar ais i dtreo an chliaint. Ní dhéanann ród líonra príobháidigh a chur le raon baile an ríomhaire ghlúine é sin, agus cruthaíonn sé coinbhleachtaí nuair a bhíonn an raon baile céanna ag beirt úsáideoirí.

Is ceist bheartais í an treo freisin. Ní thugann cead do chliant ceangal a oscailt chuig seirbhís inmheánach cead go huathoibríoch d’óstróir inmheánach ceangal a oscailt chuig an gcliant sin. Seiceáil beartas rochtana an fhreastalaí agus balla dóiteáin óstróir an chliaint sula gcinnfidh tú go bhfuil an cosán briste.

Deimhnigh le sreabh amháin agus gabháil amháin

Cruthaigh an cosán le ceangal amháin seachas le tástáil inrochtaineachta ghinearálta. Féach ar an sreabh chéanna ag an dá cheann: an t-iarratas ag teacht chuig an tseirbhís agus an freagra ag fágáil.

tcpdump -ni any host 10.90.0.25 and port 443

Roimh an gceartú taispeánann an ghabháil an freagra ag imeacht i dtreo geata nach ródóidh é. Tar éis an gceartúcháin téann an freagra i dtreo an fhreastalaí agus críochnaítear an tsreabh. Ansin deimhnigh an ród a d’úsáidfeadh an geata do dhara seoladh cliaint, ionas go dtiocfadh linne nár chlúdaigh tú chun solais anois seachas i gceann seachtaine.

Críochnaigh leis na ceithre sheiceáil a dhúnann é seo: tagann an seoladh foinse ag an tseirbhís leis an mód a bhí beartaithe agat, tá ród ag an ngeata chuig gach linne atá in úsáid, ceadaíonn seoladh ar aghaidh agus scagairí an dá threo, agus críochnaíonn fíorshreabh amháin ó thús go deireadh. Luann Ceisteanna coitianta faoi ródú Access Server an prionsabal céanna don eisiúint shuiteáilte, a d’fhéadfadh a comhéadan cumraíochta tacaíochta a bheith difriúil ó threoiríní níos sine.