Me ya sa ba a iya isa ga abokan ciniki na Access Server daga LAN

Kwamfutar tafi-da-gidanka tana haɗawa, rami yana aiki, kuma buƙatun zuwa wani sabis na ciki suna ratayewa lokacin haɗawa. A kan sabis ɗin kanta buƙatar tana zuwa daga adireshi kamar 10.90.0.25, amsar tana fita zuwa ƙofar da aka saba, kuma babu abin da ke dawowa, domin wannan ƙofar ba ta san inda 10.90.0.25 yake ba. Daga wancan gefen kuskuren nan ɗaya yana kama da wani mai-gida na ciki wanda ba zai iya yin ping ga abokin ciniki da ke haɗe ba. Dukansu abu ɗaya ne da ya ɓace: hanyar dawowa zuwa tafkin abokan ciniki na VPN, wadda kawai cibiyar sadarwa ta sirri za ta iya ƙarawa.

Karanta adireshin tushen da sabis ɗin yake gani

Wannan fili ɗaya ne ke yanke shawarar komai. Idan sabis ɗin ciki yana ganin adireshin tafkin, Access Server yana yin tuƙi maimakon ɓoye zirga-zirgar abokan ciniki, kuma kowane amsa dole a yi mata tuƙi zuwa tafkin. Idan kuma yana ganin adireshin sirri na uwar garken kanta, uwar garken tana yin masquerade kuma hanyar amsa tana aiki tuni, amma da farashin rasa kowane asalin kowane abokin ciniki a cikin rajistan ayyukan sabis ɗin da ka'idojin shiga.

Kwatanta ɓangarorin biyu kafin canza wani abu. A kan uwar garken, jera mu'amalolin rami da adireshinsu; a kan abokin ciniki, tabbatar da wanne daga waɗannan adireshin yake da shi da gaske; a kan mai-gida na ciki, duba haɗin da ke aiki.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Umarnin ƙarshe shine wanda ke gazawa a yanayin da ya karye: ko dai yana bayar da rahoton cewa prefix ɗin rami ba a isa ba, ko kuma, mafi muni, yana mayar da ƙofar da aka saba, kuma haka amsoshi ke ƙarasa kan intanet.

Kada ka ɗauka tafki ɗaya ne kawai. Uwar garken na iya samun kewayon mai canzawa tare da taswirar tsayayye na kowane mai amfani, kuma adireshin tsayayyen yana iya kasancewa gaba ɗaya a wajen prefix ɗin mai canzawa. Idan ka yi tuƙi kewayon da kake tunawa kawai, masu amfani da adireshi tabbatattu suna kasancewa a karye kuma kowa da kowa yana bayar da rahoton cewa an warware matsalar.

Ƙara hanyar a inda ake yanke shawarar amsa

Hanyar ta ƙofar da sabis ɗin ciki ke amfani da ita tuni, ba ta sabis ɗin ba, sai idan shi kansa yana yin tuƙin zirga-zirgarsa. Nuna ta zuwa adireshin sirri mai isa na Access Server, wanda ya bambanta da adireshin ramin da abokin ciniki ke da shi.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

A cikin cibiyar sadarwar girgije wannan magana ta zama shigarwar teburin hanyoyi wadda makasudinta shine instance ko mu'amalin cibiyar sadarwar da uwar garken ke gudana a kai, tare da kashe duban tushe da manufa a wannan mu'amala. Lura da abin da wannan shigarwa ba ta yi ba: hanya ba izini ba ce ta shiga, don haka ƙungiyoyin tsaro, ACL na cibiyar sadarwa da firewar uwar gida dole su ba da izinin zirga-zirgar.

Ka mai da ita dawwama, kuma ka riƙe girman tafkunan da gaskiya. Tafkuna biyu da ba su haɗa ba suna buƙatar hanyoyi biyu, kuma tafkin da ya girma fiye da prefix ɗin da aka saita yana haifar da abokan ciniki a shiru waɗanda amsoshinsu ba su da inda za su je. Idan kana sarrafa kewayon tafkunan, zaɓi taƙaitaccen da za ka iya yin tuƙi sau ɗaya ka bar shi.

Turawa gaba da tacewa dole su yarda da hanyar

Tuƙi rabin hanyar ne kawai. Dole a ba uwar garken izinin tura gaba tsakanin rami da mu'amalar sirri, wanda a Linux yana nufin net.ipv4.ip_forward tare da sarkar turawa da ke ba da izinin mu'amalolin biyu, kuma a kan mai-gida mai tsaro yawanci ƙa'ida bayyananna ga kowace alkibla.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Tacewa mai yanayi tana bayyana alamar da ke kai mutane ga hanyar da ba daidai ba. Amsa a cikin kwararar da aka kafa ba ta buƙatar sabuwar ƙa'idar shigowa, don haka haɗin da ke ratayewa bayan SYN-ACK ba ƙa'idar karɓa da ta ɓace ce ke toshe shi ba; ana watsar da shi ko kuma ana yin tuƙinsa ba daidai ba. Riƙe wannan bambanci, domin yana raba canjin tuƙi da canjin firewar.

Hanyoyin dawowa marasa daidaituwa su ne mafi shiru sigar wannan matsala. Idan hanyoyi biyu sun isa tafkin kuma amsar ta bi wadda ke fita daga mu'amala daban da wadda buƙatar ta shigo, tacewar hanyar baya mai tsanani tana watsar da ita kuma kwararar tana gazawa ga wasu abokan ciniki kawai.

Tuƙi ko masquerade: zaɓi da gangan

Yanayin tuƙi yana kiyaye adireshin tafkin abokin ciniki a sabis ɗin, wanda ke sa yiwuwar yin rikodin da manufar kowane abokin ciniki, kuma a madadin haka kowace cibiyar sadarwa ta ciki da za ta amsa wa abokin ciniki tana buƙatar hanyar tafkin. Yanayin masquerade yana kawar da wannan buƙata saboda amsoshi suna komawa uwar garken, amma sabis ɗin ba zai iya bambance abokin ciniki ɗaya daga wani ba kuma ba zai iya fara komai zuwa ga wani takamaiman abokin ciniki ba.

Canza wannan ɗabi'a a kan uwar garken da ke aiki yana yanke zaman da ke akwai, don haka gwada da abokin ciniki ɗaya da kwarara ɗaya tukuna. Idan sauyin shine amsar da ta dace, shawarar daidaitawa ce a kan uwar garken, ba abin da za a guje masa ta hanyar ƙara hanyoyin da za su zama marasa buƙata ba.

Subnet ɗin da ke bayan abokin ciniki aiki ne daban

Isa ga na'ura a cikin LAN na kwamfutar tafi-da-gidanka ba ɗaya ba ne da isa ga adireshin ramin kwamfutar tafi-da-gidanka. Yana buƙatar abokin ciniki ya zama ƙofar subnet: cibiyar sadarwar da aka bayyana a gefen abokin ciniki, turawa da aka kunna a tsarin aiki na abokin ciniki, da hanya a cikin wannan LAN ta komawa ga abokin ciniki. Ƙara hanyar cibiyar sadarwa ta sirri ga kewayon gida na kwamfutar tafi-da-gidanka ba ya yin haka, kuma yana haifar da rikici idan masu amfani biyu suna da kewayon gida ɗaya.

Alkibla tambaya ce ta manufa kuma. Izini ga abokin ciniki ya buɗe haɗi zuwa sabis na ciki ba ya ba da izinin kai tsaye ga mai-gida na ciki ya buɗe haɗi zuwa wannan abokin ciniki. Duba manufar shiga ta uwar garken da firewar mai-gidan abokin ciniki kafin ka yanke shawarar cewa hanyar ta karye.

Tabbatar da hanyar da haɗi ɗaya da hoto ɗaya

Tabbatar da hanyar da haɗi ɗaya maimakon gwajin isa gabaɗaya. Kalli wannan kwarara a ƙarshen biyu: buƙatar da ke zuwa sabis ɗin da amsar da ke barinsa.

tcpdump -ni any host 10.90.0.25 and port 443

Kafin gyara hoton yana nuna amsar tana fita zuwa ƙofar da ba za ta yi mata tuƙi ba. Bayan gyara amsar tana fita zuwa uwar garken kuma kwararar tana cika. Sannan tabbatar da hanyar da ƙofar za ta yi amfani da ita ga adireshin abokin ciniki na biyu, domin tafkin da ba ka rufe ya bayyana yanzu ba bayan mako ɗaya ba.

Kammala da dubawa huɗu da ke rufe wannan: adireshin tushe a sabis ɗin ya dace da yanayin da ka yi niyya, ƙofar tana da hanyar zuwa kowane tafkin da ake amfani da shi, turawa da tacewa suna ba da izinin alkibla biyu, kuma kwarara ta gaske ɗaya tana cikawa daga farko zuwa ƙarshe. Tambayoyin da ake yawan yi game da tuƙin Access Server yana bayyana wannan ka'ida ga fitowar da aka shigar, wadda mai yiwuwa tsarin daidaitawa da ake tallafawa ya bambanta da tsofaffin jagorori.