VPN क्लाइंट कनेक्ट होते ही वेब सर्वर गायब हो जाता है

जो सेवा VPN क्लाइंट कनेक्ट होते ही गायब हो जाती है, वह आमतौर पर अवरुद्ध नहीं होती, बल्कि गलत इंटरफ़ेस से उत्तर देती है। अनुरोध भौतिक नेटवर्क कार्ड पर आता है, डेमन उत्तर लिखता है, और राउटिंग तालिका उस उत्तर को टनल को सौंप देती है, क्योंकि टनल ने डिफ़ॉल्ट मार्ग ले लिया है। दूरस्थ क्लाइंट को अपने खोले गए कनेक्शन का उत्तर कभी नहीं दिखता, इसलिए वह प्रतीक्षा करता है और फिर समय समाप्त होने की सूचना देता है। उस क्रम में कहीं भी कोई फ़ायरवॉल नियम शामिल नहीं है।

लक्षण: अनुरोध अंदर, उत्तर गलत दरवाज़े से बाहर

संकेत वह आने वाला कनेक्शन है जो विफल हो जाता है, जबकि होस्ट पर बाकी सब कुछ काम करता है। दूसरा संकेत वह होस्ट है जो LAN से पहुँच योग्य है पर इंटरनेट से नहीं, या जो टनल के फिर से कनेक्ट होने तक काम करता है और फिर रुक जाता है। हर मामले में आगे की दिशा ठीक चली और लौटने की दिशा नहीं, जो नीति की बजाय राउटिंग असममिति की ओर संकेत करता है।

उत्तर कहाँ जाता है यह देखकर इसकी पुष्टि करें, अनुरोध कैसे आता है यह देखकर नहीं।

भौतिक इंटरफ़ेस पर और टनल डिवाइस पर एक साथ कैप्चर करें। यदि अनुरोध भौतिक इंटरफ़ेस पर दिखता है और उत्तर टनल पर दिखता है, तो निदान पूरा हुआ। जो उत्तर कहीं नहीं दिखता उसका अर्थ है कि सेवा ने कनेक्शन कभी स्वीकार नहीं किया, जो अलग कारण वाली अलग जाँच है।

दो डिफ़ॉल्ट मार्ग और एक राउटिंग निर्णय

डिफ़ॉल्ट मार्ग स्थापित करने वाला क्लाइंट LAN गेटवे से बेहतर मीट्रिक वाली दूसरी प्रविष्टि जोड़ता है। कुछ क्लाइंट इसके बजाय आधी-श्रेणी के दो मार्ग स्थापित करते हैं, जो उसी स्थान को अधिक विशिष्ट रूप से ढकते हैं और उसी तरह लुकअप जीतते हैं। दोनों तकनीकें सामान्य बाहर जाने वाले पैकेट को टनल इंटरफ़ेस चुनने देती हैं।

वह चयन केवल गंतव्य से होता है। कर्नेल यह नहीं पूछता कि पैकेट कहाँ से आया, जब तक कोई नीति नियम उसे ऐसा करने का आदेश न दे। इसलिए सार्वजनिक क्लाइंट पते के उत्तर को टनल को सौंप दिया जाता है, जिसका दूरस्थ सिरा ऐसे स्रोत पते वाला पैकेट पाता है जो उसका नहीं है और उसे फेंक देता है या कहीं बेकार जगह भेज देता है। लिनक्स में कड़ा रिवर्स-पाथ फ़िल्टरिंग मूल अनुरोध को भी गिरा सकता है, इससे पहले कि आपकी सेवा उसे देखे, जो बाहर से एक जैसा दिखता है। दोनों लक्षण आने वाले प्रवाह और उसके उत्तर के बीच उसी अनुपस्थित संबंध से आते हैं।

टनल पूरे समय ठीक व्यवहार करता है। उसे डिफ़ॉल्ट मार्ग ढोने के लिए कहा गया था और वह ठीक वही करता है।

टनल को तोड़े बिना लौटने का मार्ग ठीक करें

मरम्मत के तीन टिकाऊ रूप हैं, और चयन इस पर निर्भर करता है कि होस्ट का अपना कितना ट्रैफ़िक टनल के अंदर रहना चाहिए। सेवा का गंतव्य या पोर्ट बहिष्कृत करना सबसे छोटा बदलाव है। स्रोत या चिह्न के अनुसार नीति-राउटिंग सबसे सटीक है। स्रोत अनुवाद सबसे मोटा है और दो साल बाद समझाने में सबसे आसान है।

होस्ट को जो करना है उसके अनुसार चुनें, आपको पहले कौन-सा अंश मिला उसके अनुसार नहीं।

गंतव्य बहिष्कृत करना स्थिर सार्वजनिक पते वाली सेवा के लिए उपयुक्त है, और डेमन को हर पते के बजाय भौतिक पते से बाँधना उस बहिष्करण को अधिक सुरक्षित बनाता है। स्रोत के अनुसार तालिका चुनने वाला नीति नियम होस्ट के अपने कनेक्शन को टनल के अंदर रखता है और साथ ही सेवा के उत्तर WAN गेटवे से वापस भेजता है। WAN इंटरफ़ेस पर उत्तरों को मास्क करना उसी मार्ग तक पहुँचता है, पर सेवा के लॉग से क्लाइंट का पता छिपाने की कीमत पर। डिफ़ॉल्ट मार्ग का तात्कालिक बदलाव एक निदान है, विन्यास नहीं, क्योंकि क्लाइंट हर पुनःकनेक्शन पर मार्ग फिर से लिखता है।

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

जब होस्ट अपने पीछे की LAN के लिए भी राउट करता है

एक हॉप और दूर, वही असममिति अधिक गतिशील भागों के साथ लौटती है। ट्रैफ़िक इंटरनेट से राउटर तक पहुँचता है, आंतरिक डिवाइस पर अग्रेषित होता है, और उस डिवाइस का एकमात्र वापसी मार्ग टनल है, इसलिए उत्तर मूल क्लाइंट तक प्रदाता के अपने पते से पहुँचता है। फिर कनेक्शन ट्रैकिंग को ऐसे प्रवाह का उत्तर मिलता है जिसकी शुरुआत उसने नहीं देखी, और वह उसे फेंक देता है। क्लाइंट को इस बीच कुछ भी नहीं दिखता।

दो बदलाव इसे ठीक करते हैं: गंतव्य अनुवाद ताकि आने वाला कनेक्शन आंतरिक डिवाइस तक पहुँचे, और स्रोत अनुवाद ताकि उस डिवाइस का उत्तर राउटर से ही आता हुआ लगे।

राउटर फ़र्मवेयर में सामान्य अभिव्यक्ति वह नीति नियम है जो पोर्ट-फ़ॉरवर्डिंग को WAN पक्ष से बाँधता है जबकि राउटर का अपना ट्रैफ़िक टनल से चलता है। स्रोत अनुवाद के बिना वह उत्तर बाहरी क्लाइंट को संबोधित है और आंतरिक डिवाइस का उस तक कोई मार्ग ही नहीं है। तीन चीज़ें अलग-अलग जाँचें, क्योंकि वे अलग कारणों से विफल होती हैं: बाहर से आने वाला कनेक्शन, वह जो होस्ट स्वयं शुरू करता है, और नाम की खोज।