Me ya sa 403 daga shafin VPN ba gazawar wakili ba ce

Masu amfani suna cire VPN, suna fuskantar 403 a wani shafi na ciki, kuma suna bayar da rahoton cewa wakilin ya lalace. Abubuwa uku daban-daban na iya samar da wannan shafin: asalin ya ƙi buƙatar, wakilin gaba ya ƙi buɗe ramin, ko wakilin ya nemi nasa shaidun shiga. Kowanne daga cikinsu amsa ce daidai ga wata tambaya dabam, kuma murƙushe su cikin shafi ɗaya na gama-gari na gazawa yana lalata shaida ɗaya tilo da kake da ita. Rarraba ƙin bisa ga ɓangaren da ya yi shi, sannan kwatanta hanyar cibiyar sadarwa da kowane ɓangare ke amfani da ita a zahiri.

Faɗi sunan ɓangaren da ya samar da 403

Lambar matsayin HTTP ta bangaren da ya aika shi ce. Lokacin da asalin ya mayar da 403, ya yi nazarin buƙatar kuma ya yanke shawarar cewa mai kira ba zai iya samun albarkatun ba, wanda amsa ce ta izini ba matsalar jigila ba. Lokacin da wakilin gaba ya amsa 403 ga CONNECT, ya ƙi gina ramin kwata-kwata, kuma ba a taɓa tuntuɓar wani abu a sama ba. Lokacin da ya amsa 407, yana son nasa shaidun shiga, waɗanda ba su da wata alaƙa da shigar da aikace-aikacen.

RFC 9110 ya bayyana waɗannan matsayi, gami da ƙalubalen da ya shafi wakili. Karanta matsayin amsar kanta da kowane kan Proxy-Authenticate kafin karanta jiki, domin shafin kuskuren HTML na abokantaka yawanci yana ɓoye wane ɓangare ya rubuta shi.

Abin da ramin CONNECT ke ɓoyewa daga mai isar da baiti

Da zarar wakili ya mayar da 200 ga CONNECT, yana isar da baiti kuma burauza yana riƙe da nasa zamansa na TLS tare da asalin. Don haka wakilin da ke isar da baiti ba zai iya karanta 403 da aka ɓoye a cikin wannan zaman ba, kuma ba ya zama marubucin ƙin. Ƙin kafin a buɗe ramin wani lamari ne daban, wanda aka samar da shi a mataki ɗaya ƙasa.

Wakilin juyawa da ke ƙare TLS yana cikin wani matsayi daban: ya mallaki iyakar TLS, yana nazarin HTTP, kuma zai iya sake rubuta ko kama amsoshi bisa doka. Wannan ƙarfin zaɓin tsari ne, ba sifa ta wakilai gaba ɗaya ba, kuma ba ya ba da izinin ketare manufar shiga ta aikace-aikacen. Karanta amsar ƙarfi ne; yanke shawarar abin da mai kira zai iya gani aikin asalin ne har yanzu.

Sakamakon a zahiri shi ne cewa dole ne ka san wanne daga cikin siffofin uku kake gudanarwa kafin ka fassara 403. Ƙara dokokin binciken HTTP ga wakilin rafi ba ya ba shi ganuwa, kuma tsammanin mai isar da baiti ya bayyana ƙin asali zai sa ka duba cikin log ɗin da ba daidai ba.

Kwatanta hanyar fita ta wakilin da adireshin ramin burauza

Burauzan da aka haɗa da VPN ba ya motsa wani sabar wakili dabam zuwa wannan ramin kai tsaye. Asalin yana ganin adireshin fita na wakilin, kuma idan wakilin har yanzu yana fita ta hanyar gama-gari na gida, shafin da aka kare yana ganin adireshin da ba a taɓa tsara shi don amincewa da shi ba. Adireshin VPN na ciki a kwamfutar tafi-da-gidanka ganuwa ne ga wannan asalin. Wannan shine dalilin da ya fi yawa da ya sa rami mai aiki har yanzu yana ba da 403 daga shafin da ke kasancewa daidai ga kowa.

Gwada hanyoyin biyu dabam domin kada adiresoshin su rikice.

curl -sS -o /dev/null -w 'status=%{http_code}\n' --noproxy '*' https://198.51.100.20/private
curl -sS -o /dev/null -w 'status=%{http_code}\n' -x http://203.0.113.10:3128 https://198.51.100.20/private

Buƙata ta farko tana nuna abin da asalin ke amsawa ga adireshinka, ta biyu tana nuna abin da yake amsawa ga na wakilin. 403 guda biyu masu daidaitawa suna nuni ga dokokin izini na asalin; 200 wanda 403 ya biyo baya yana nuni ga hanyar wakilin. Tambayi mai asalin waɗanne adiresoshin tushe ne tsarin dokoki ke karɓa a zahiri maimakon ɗauka cewa an haɗa tafkin VPN.

Gwada kowane iyaka da buƙatar da ke keɓe shi

Keɓe matakin wakilin ta hanyar neman wani abu da ba zai iya ƙi ba saboda dalilan aikace-aikace. CONNECT zuwa mai masaukin da wakilin ya sami izinin isa, tare da jefar da fitarwa, yana gaya maka ko shigar da rami yana aiki kwata-kwata.

curl -sSv -o /dev/null -x http://203.0.113.10:3128 https://198.51.100.20/ 2>&1 | grep -E 'CONNECT|HTTP/1.1|Proxy-Authenticate'

Idan wannan ya buga 200 ga CONNECT sannan musafaha TLS, shigar da wakilin yana da kyau kuma 403 na baya ya fito daga asalin. Idan ya buga 407, bayar da shaidun shiga na wakili da --proxy-user kuma maimaita kafin ka yanke wata shawara game da shafin. Idan ya buga 403 a layin CONNECT, jerin izini na wakilin kansa shine iyakar da za a bincika, kuma aikace-aikacen ba ya da hannu.

Ka nisantar da shaidun shiga daga tarihin harsashi da daga rubutun da aka liƙa. Kalmar sirri ta wakili da aka buga a layin umarni tana ganuwa ga sauran masu amfani na gida, kuma ɗaukar alamar CONNECT tare da shaidun shiga ya fi muni da rashin alama kwata-kwata.

Ka riƙe hukunci a bayyane maimakon sake rubuta shafin

Da zarar ka san wane ɓangare ya ƙi, ka adana wannan amsar. Wakilin juyawa da ke sake yiwa 403 na asalin lakabi a matsayin jinkirin 504, ko ya maye gurbinsa da shafin nasara, yana ɓoye shawarar izini a bayan labarin samuwa kuma yana tura mai amsawa na gaba zuwa ƙungiyar da ba daidai ba. Shafukan kuskure na musamman suna da kyau idan sun riƙe matsayin kuma sun ƙara mahallin.

Adana a cache ya cancanci irin wannan kulawa. RFC 9111 yana tsara yadda cache ɗin da aka raba zai iya sake amfani da amsoshi, kuma ƙin da aka samar wa mai kira ɗaya bai kamata a ba wani kamar izini ba. Idan ana adana amsoshin ƙin kwata-kwata, ka riƙe su cikin sirri da iyaka, kuma kada ka taɓa ƙara dokar sabo ta jama'a kawai don rage zirga-zirgar sama.

Kammala da rubutaccen hukunci wanda ya faɗi sunan ɓangaren, matsayin da ya samar, da adireshin tushe da asalin ya gani. Rubuta ainihin buƙatar, saitunan wakili da ke aiki, da lokacin, domin a iya kwatanta rahoto na gaba da wannan shaida maimakon sake fitar da ita daga ƙwaƙwalwa. Wannan rikodin yana amsa rahoto na gaba cikin daƙiƙa kuma yana hana a sake gano irin wannan 403 a matsayin katsewar VPN.