Gáttin hýsir eigin stjórnborðssíðu: innra eða opinbert vistfang

Stjórnborðssíða svarar frá síma á farsímagögnum og rennur út frá fartölvu sem er tengd VPN-inu. Ekkert er í ólagi í göngunum, því beiðnin fer aldrei inn í þau. Hýsilnafnið leysist í opinbert vistfang gáttarinnar, og það vistfang er aðeins aðgengilegt utan þeirra ganga sem hún lýkur. Að laga þetta þýðir að gefa þjónustunni einkanlegan inngang í stað þess að færa ytri endapunktinn til.

Síðan hleðst utan frá en ekki í gegnum göngin

Verið er að bera saman tvær ólíkar beiðnir. Frá farsímagögnum nær vafrinn beint á opinbera vistfangið. Innan frá göngunum leysist sama nafn í sama opinbera vistfang, og pakkinn verður nú að fara út í gegnum göngin til að ná vistfangi hinum megin við göngin sjálf. Sama nafn, sama vistfang, tveir mjög ólíkir staðir.

Áfangastaðarleið velur vistfang, ekki port. Ekkert í leiðartöflunni veit að port 443 er fyrir stjórnun og port 1194 er flutningurinn, svo bæði eru meðhöndluð sem sami áfangastaður.

Þess vegna virkar síðan stundum og stundum ekki, eftir því hvaða nafn og hvaða net viðskiptavinurinn notaði. Þetta er vandamál í slóð, ekki vandamál í auðkenningu. Báðir viðskiptavinir auðkenna sig vel.

Haltu ytri endapunktinum aðgengilegum

Prófílar fyrir full göng þurfa undantekningarleið fyrir VPN-endapunktinn, og redirect-gateway valkostur OpenVPN skjalfestir einmitt það: fjarlægi endapunkturinn heldur leið í gegnum fyrirliggjandi gátt svo göngin leiði ekki inn í sjálf sig. Fjarlægðu þá undantekningu og dulkóðaði flutningurinn fylgir göngunum, sem endar lotuna í lykkju. Þessi undantekning er ástæðan fyrir því að vistfang endapunktsins er áfram aðgengilegt innan frá göngunum.

Afleiðingin er sú að opinbera vistfangið er áfram aðgengilegt frá viðskiptavininum, og þess vegna getur beiðni vafra á það vistfang fylgt sömu undantekningu og farið út án þess að fara inn í göngin. Undantekningin sinnir sínu hlutverki, og nafnið veldur skaðanum.

Lestu leiðarákvörðunina frekar en viðmótslistann áður en þú breytir nokkru. Skipanirnar hér að neðan prenta ákvörðunina frekar en birgðirnar. Keyrðu þær frá viðskiptavininum sem mistókst.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Ef uppflettingin sýnir leið endapunktsins í gegnum líkamlegu gáttina er hegðunin rétt og stjórnborðssíðan er einfaldlega send eftir röngu slóðinni. Það er punkturinn þar sem nafnaleysing verður lagfæringin.

Gefðu þjónustunni einkanlegt nafn

Þjónustan þarf nafn sem leysist í vistfang gáttarinnar innan í göngunum, á sama tíma og varðveitt er skilgreining skírteinis og hýsilnafns sem forritið væntir. Einkaskrá í svæði fyrir stjórnunarnafnið er venjulega svarið, og hún lætur flutningsnafnið ósnortið.

Ekki beina flutningsnafninu að innra vistfanginu, því næsta uppsetning ganganna myndi þá reyna að ná vistfangi sem er aðeins til innan í göngum. Sú mistök framleiða VPN sem virkar nákvæmlega einu sinni.

Athugaðu báðar vistfangafjölskyldurnar lika, því AAAA-skrá sem skilin er eftir getur sent vafrann þangað sem einkaaðgangsáætlunin náði aldrei.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Lagaðu stefnuna að því hvar ferlið keyrir

Náð er í innfædda ferli sem hlustar á gáttinni um slóð staðbundins inntaks, svo inntakskeðjan og sokkabindingin ákveða hvort beiðnin sé samþykkt. Framleiðslureglur og IP-framleiðsla fá ekki staðbundinn hlustanda til að svara. Leyfðu upptök ganganna í inntaksstefnunni og staðfestu að ferlið sé bundið við vistfang sem göngin ná til.

Gáma sem birtur er á hýsilporti fylgir annarri slóð, því pakkinn er áfangastaðaþýddur og framsendur. Sú beiðni mætir framsendingarstefnu hýsilsins og eigin reglum Docker, og þess vegna getur virkur innfæddur hlustandi verið til við hlið gámu sem hafnar sama porti.

Röð ræsingar skiptir máli í báðum tilvikum, því binding við vistfang sem kemur aðeins fram eftir að göngin rísa mistekst hljóðlaust við ræsingu.

Athugaðu einkanlegan aðgang og hafnaða opinbera slóð

Sendu nýja nefnda beiðni frá heimildarviðskiptavini með eigin auðkenningarprófanir forritsins ósnortnar. Prófaðu síðan sömu þjónustu utan ganganna og staðfestu að hún svari ekki. Einkanlegt nafn er þægindi en ekki takmörkun, og hlustandi sem er enn bundinn við opinbera vistfangið er enn berskjaldaður. Það er síðasta prófið sem flestir yfirferðir sleppa.

Lestu bindingarnar og stöðu síunnar frekar en hýsilnafnið sem notendur fengu. Berskjöldun er eiginleiki sokkans en ekki nafnsins. Sú aðgreining lifir af hverri DNS-breytingu.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Þegar innri beiðnin skilar síðunni og ytri beiðnin rennur út hefur þjónustan eina viljandi einkanlega slóð og flutningurinn er áfram aðgengilegur. Þegar ytri beiðnin svarar enn þarf að þrengja hlustandann eða birtan gámufærslu áður en einhver lýsir þjónustunni sem eingöngu innri.