Վեբ սերվերը անհետանում է, երբ միանում է VPN հաճախորդը

Ծառայությունը, որը անհետանում է VPN հաճախորդի միանալու պահին, սովորաբար արգելափակված չէ, այլ պատասխանում է սխալ ինտերֆեյսով։ Հարցումը գալիս է ֆիզիկական ցանցային քարտ, դեմոնը գրում է պատասխան, և երթուղային աղյուսակը այդ պատասխանը հանձնում է թունելին, քանի որ թունելը վերցրել է լռելյայն երթուղին։ Հեռավոր հաճախորդը երբեք չի տեսնում պատասխան իր բացած միացմանը, ուստի սպասում է և ապա հաղորդում ժամանակի սպառման մասին։ Այդ հաջորդականության մեջ ոչ մի տեղ հրշեջ պատի կանոն ներգրավված չէ։

Ախտանիշը՝ հարցումները ներս, պատասխանները՝ սխալ դռնով դուրս

Նշանը ներգնա միացումն է, որը ձախողվում է, մինչ հոսթի վրա մնացած ամեն ինչ աշխատում է։ Մեկ այլ նշան այն հոսթն է, որը հասանելի է LAN-ից, բայց ոչ ինտերնետից, կամ այն, որը աշխատում է մինչև թունելի վերամիացումը և ապա կանգ է առնում։ Յուրաքանչյուր դեպքում առաջ ընթացքի ուղղությունը աշխատել է, իսկ վերադարձի ուղղությունը՝ ոչ, ինչը ցույց է տալիս երթուղավորման ասիմետրիա, այլ ոչ քաղաքականություն։

Հաստատեք դա՝ հետևելով, թե ուր է գնում պատասխանը, ոչ թե հետևելով, թե ինչպես է գալիս հարցումը։

Գրավեք միաժամանակ ֆիզիկական ինտերֆեյսի վրա և թունելի սարքի վրա։ Եթե հարցումը հայտնվում է ֆիզիկական ինտերֆեյսի վրա, իսկ պատասխանը՝ թունելի, ախտորոշումն ավարտված է։ Պատասխանը, որը ոչ մի տեղ չի հայտնվում, նշանակում է, որ ծառայությունը երբեք չի ընդունել միացումը, ինչը առանձին հետաքննություն է առանձին պատճառով։

Երկու լռելյայն երթուղի և մեկ երթուղավորման որոշում

Հաճախորդը, որը տեղադրում է լռելյայն երթուղի, ավելացնում է երկրորդ գրառում՝ LAN դարպասից ավելի լավ մետրիկայով։ Որոշ հաճախորդներ փոխարենը տեղադրում են երկու կիսատիրույթ երթուղիներ, որոնք նույն տարածությունը ծածկում են ավելի կոնկրետ և նույն ձևով հաղթում են որոնումը։ Երկու տեխնիկան էլ սովորական ելքային փաթեթներին թողնում են ընտրել թունելի ինտերֆեյսը։

Այդ ընտրությունը կատարվում է միայն ըստ նպատակակետի։ Միջուկը չի հարցնում, թե որտեղից է եկել փաթեթը, եթե քաղաքականության կանոնը նրան դա չի հրամայում։ Այսպիսով՝ հանրային հաճախորդի հասցեին ուղղված պատասխանը հանձնվում է թունելին, որի հեռավոր ծայրը ստանում է փաթեթ՝ աղբյուրի հասցեով, որը իրենը չէ, և դեն է նետում այն կամ ուղարկում ինչ-որ անօգուտ տեղ։ Linux-ում խիստ հակադարձ ուղու զտումը կարող է նաև դեն նետել սկզբնական հարցումը նախքան ձեր ծառայությունը կտեսնի այն, ինչը դրսից նույն տեսքն ունի։ Երկու ախտանիշներն էլ գալիս են ներգնա հոսքի և դրա պատասխանի միջև նույն բացակայող կապից։

Թունելը ողջ ընթացքում իրեն ճիշտ է պահում։ Նրան ասվել է կրել լռելյայն երթուղին, և նա անում է հենց դա։

Ուղղեք վերադարձի ուղին՝ չկոտրելով թունելը

Վերանորոգման երեք կայուն ձև կա, և ընտրությունը կախված է նրանից, թե հոսթի սեփական երթևեկության որքան մասը պետք է մնա թունելի ներսում։ Ծառայության նպատակակետի կամ պորտի բացառումը ամենափոքր փոփոխությունն է։ Ըստ աղբյուրի կամ նշանի քաղաքականության երթուղավորումը ամենաճշգրիտն է։ Աղբյուրի թարգմանությունը ամենակոպիտն է և երկու տարի անց բացատրելու համար ամենահեշտը։

Ընտրեք ըստ այն բանի, ինչ պետք է անի հոսթը, ոչ թե ըստ այն բանի, թե որ հատվածն եք առաջինը գտել։

Նպատակակետի բացառումը հարմար է կայուն հանրային հասցեով ծառայությանը, և դեմոնը ֆիզիկական հասցեին կապելը՝ բոլոր հասցեների փոխարեն, այդ բացառումը դարձնում է ավելի անվտանգ։ Աղբյուրով աղյուսակ ընտրող քաղաքականության կանոնը հոսթի սեփական միացումները պահում է թունելի ներսում և միաժամանակ ծառայության պատասխանները հետ է ուղարկում WAN դարպասով։ WAN ինտերֆեյսին պատասխանները քողարկելը հասնում է նույն ուղուն՝ ծառայության մատյաններից հաճախորդի հասցեն թաքցնելու գնով։ Լռելյայն երթուղու առիթով փոփոխությունը ախտորոշում է, ոչ կոնֆիգուրացիա, որովհետև հաճախորդը յուրաքանչյուր վերամիացման ժամանակ նորից գրում է երթուղիները։

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Երբ հոսթը երթուղավորում է նաև իր հետևում գտնվող LAN-ի համար

Մեկ ցատկ ավելի հեռու՝ նույն ասիմետրիան վերադառնում է ավելի շատ շարժվող մասերով։ Երթևեկությունը ինտերնետից հասնում է երթուղիչին, փոխանցվում ներքին սարքին, և այդ սարքի վերադարձի միակ ուղին թունելն է, ուստի պատասխանը սկզբնական հաճախորդին հասնում է մատակարարի սեփական հասցեից։ Այնուհետև միացումների հետևումը հանդիպում է պատասխանի հոսքի համար, որի սկիզբը չի տեսել, և դեն է նետում այն։ Հաճախորդը մինչդեռ ոչինչ չի տեսնում։

Երկու փոփոխություն ուղղում է դա՝ նպատակակետի թարգմանություն, որպեսզի ներգնա միացումը հասնի ներքին սարքին, և աղբյուրի թարգմանություն, որպեսզի այդ սարքի պատասխանը թվա, թե գալիս է հենց երթուղիչից։

Երթուղիչի ներկառուցված ծրագրաշարում սովորական արտահայտությունը քաղաքականության կանոնն է, որը պորտի փոխանցումը ամրացնում է WAN կողմին, մինչ երթուղիչի սեփական երթևեկությունը գնում է թունելով։ Առանց աղբյուրի թարգմանության՝ այդ պատասխանը հասցեագրված է արտաքին հաճախորդին, և ներքին սարքը պարզապես երթուղի չունի դեպի այն։ Փորձարկեք երեք բան առանձին, որովհետև դրանք ձախողվում են տարբեր պատճառներով՝ դրսից եկող միացում, այն, ինչը հոսթն ինքն է սկսում, և անվան որոնում։