Hvers vegna netþjónn bak við VPN-biðlara svarar um göngin

Innkomandi tengingar við hýsil sem einnig keyrir VPN-biðlara mistakast á mjög sérstakan hátt: handabandið berst, dæmoninn svarar og biðlarinn fær ekkert til baka. Ekkert lokar portinu. Svarið fór út um göngin, því göngin eiga sjálfgefnu leiðina og kjarninn beinir svörum eftir áfangastað, ekki eftir minni um hvaðan beiðnin kom. Þessi eina slepping útskýrir hvert einkenni sem fylgir.

Svarinu er beint, ekki munað

VPN-biðlari sem setur upp sjálfgefna leið bætir við færslu sem gengur framar LAN-gáttinni, annaðhvort með mælikvarða eða með því að skipta rýminu í tvo nákvæmari helminga. Útfararpakkar velja nú gönguviðmótið. Kjarninn spyr aldrei hvaðan pakkinn sem verið er að svara kom upphaflega. Þessi eina slepping útskýrir hvert einkenni sem fylgir.

Áframstefnan er beint eftir áfangastað, og afturstefnan líka. Svarinu er stílað á opinberan biðlara, sem göngin munu fúslega flytja. Fjarlægi endinn tekur við pakka sem hann á ekki uppruna að, hendir honum og upphaflegi biðlarinn bíður þar til tíminn rennur út.

Ströng síun bakleiðar getur hent innkomandi pakkanum áður en dæmoninn les hann. Athugaðu þann teljara fyrst, því síunarhending og leiðsagnarmistök líta eins út að utan.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Fyrsta skipunin sýnir hvaða sjálfgefna leið vinnur núna. Önnur tilkynnir hvort ströng síun gildi almennt eða fyrir hvert viðmót, og þriðja sýnir hvaða reglu í framsendingarkeðjunni sem kann að eiga hlut að máli.

Þrjár leiðir til að halda bakleiðinni

Að útiloka áfangastað þjónustunnar frá göngunum er þrengsti kosturinn. Hýsilssleið sem bendir á LAN-gáttina, ásamt dæmoni sem er bundinn við líkamlega vistfangið í stað allra vistfanga, heldur þeirri einu straumi utan ganganna. Breytingin er staðbundin og auðveld að afturkalla.

Stefnumiðuð leiðsögn er almenna svarið. Regla sem er lykluð á upprunavistfangið eða á eldveggsmerki velur töflu sem sjálfgefna leiðin bendir á WAN-gáttina, á meðan eigin tengingar hýsilsins halda áfram að nota göngin. Haltu forgangnum skýrum svo ekki sé hægt að skyggja á regluna síðar.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Fyrstu tvær skipanirnar byggja aðra leið fyrir svör sem eiga uppruna í opinbera vistfanginu. Sú þriðja spyr kjarnann hvaða leið nákvæmlega það upprunavistfang og áfangastaður myndu fara, og þannig staðfestir þú að reglan hafi einhver áhrif.

Upprunanetfangið er þriðji kosturinn og sá eini sem lifir af gagnvart beini sem þegar gerir NAT fyrir framan þjónustuna. Svarið verður að fara aftur til þess beinis, og fjölföldun á WAN-viðmótið nær því á meðan biðlarinn er faldur frá annálum þjónustunnar. Að skipta sjálfgefnu leiðinni út handvirkt eftir tengingu er greining, því biðlarinn skrifar töfluna aftur við næstu endurtengingu.

Þegar kassinn beinir líka fyrir LAN

Sama bilun birtist einu hoppi lengra út þegar hýsillinn beinir fyrir tæki bak við sig. Innkomandi tengingu er framsent til innra tækis sem á sér ekkert aðra bakleið en göngin, og svarið nær ytra biðlaranum frá vistfangi þjónustuveitandans. Innra tækið virkar rétt allan tímann.

Tengingarakning sér þá svar fyrir straum sem hún skráði aldrei og hendir því. Áfangastaðanetfangið skilar innkomandi tengingunni til tækisins, og upprunanetfangið lætur svarið líta út eins og það komi frá beininum sjálfum.

Stefnuregla sem heldur framsenda portinu á WAN á meðan eigin umferð beinisins notar göngin er hreinna jafngildið. Án upprunanetfangs er svarinu stílað á ytra biðlarann, og innra tækið hefur alls enga leið að því vistfangi.

Þrjár rannsóknir sem aðskilja orsakirnar

Gerðu þrjár rannsóknir: tengingu inn í kassann frá internetinu, tengingu út úr honum á opinberan hýsil og nafnleit. Þegar fyrstu tvær greinir á er bakleiðin sek. Þegar nöfn mistakast í báðar áttir er leysirinn önnur bilun sem deilir aðeins göngunum.

Lagaðu fyrst leiðsagnarspurninguna, horfðu svo á nöfn. Að blanda þessu tvennu er hvernig virkur netþjónn er kenndur um brotinn leysi.

Skráðu hvaða viðmót undantekningin nefnir og haltu stillingunni undir útgáfustjórnun. Regla skrifuð gegn viðmóti sem er endurnefnt eftir uppfærslu stenst í dag og bregst eftir næstu endurræsingu.