Hvers vegna VPN-göng slóðin þín opnar ekki inngangsport
Göng slóð auðkennir biðlarann þinn gagnvart jafningjum sem geta beint þangað, og býr aldrei til hlustanda. Athugaðu bindinguna, endurleiðina og síðan stefnuna.
Tengstu við VPN skrifstofunnar, ræstu litla þjónustu á porti 8443, sendu slóð ganganna til samstarfsmanns og fylgstu með því að tengingin mistekst á meðan biðlarinn segir enn að hann sé tengdur. Ekkert er bilað í göngunum: slóðin var úthlutuð, lotan er í gangi og pakkarnir sem bæru svarið eru einfaldlega aldrei hleypt inn. Farðu í gegnum þrjár athuganir hér fyrir neðan í röð og staldraðu við þá sem mistekst, því hver hefur sína leiðréttingu og aðeins ein þeirra snýr að VPN.
Byrjaðu á því hvar tengið er í raun bundið
Áður en eitthvað er beint verður eitthvað að hlusta á slóð sem kallandinn getur náð. Þróunarþjónar eru venjulegi sökudólgurinn, því margir þeirra bindast loopback sjálfgefið og samþykkja aðeins tengingar sem koma frá sömu vél. Slóð ganganna breytir þeirri bindingu ekki og stýrikerfið mun hafna tengingunni löngu áður en VPN kemur við sögu.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Lestu dálkinn fyrir staðbundna slóð fremur en stöðuna. 127.0.0.1:8443 þýðir aðeins loopback og leiðréttingin er binding á 0.0.0.0 eða á slóð ganganna sjálfra. 0.0.0.0:8443 tekur við á öllum tengi, sem er víðtækara en flestir eiga von á þegar vélin hefur líka opinbera slóð; 10.64.7.15:8443 er þrönga útgáfan sem hlustar aðeins þar sem samstarfsmaðurinn kemst. Taktu eftir heiti ferilsins í sama úttaki, því eintak sem hefur orðið eftir frá fyrri prófun er algeng ástæða þess að portið virðist opið og svarar með röngu efni.
Spyrðu svo hvort eitthvað geti beint á þá slóð
Slóð ganganna hefur aðeins merkingu fyrir jafningja sem eru stilltir til að senda þetta forskeyti inn í göngin. Vél samstarfsmannsins hefur sína eigin töflu og ef hún hefur ekki leið að undirneti ganganna fer pakkinn á sjálfgefna gátt og deyr á stað sem hefur enga hugmynd um að slóðin sé til. Þetta er beiningarspurning á hlið kallandans, ekki heimild á þinni hlið.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Þjónninn milli biðlaranna tveggja skiptir jafn miklu máli. Í venjulegri hönnun fyrir fjartengingu opnar hver biðlari útleið að gáttinni og gáttin heldur stöðu þessara flæða, svo svörin koma til baka eftir leið sem hún þekkir þegar. Tenging frá einum biðlara til annars er nýtt flæði sem gáttin verður að samþykkja og senda áfram, og margar uppsetningar slökkva á því viljandi til að halda biðlurum aðskildum hverjum frá öðrum. Neytenda-VPN þjónustur einangra venjulega sjálfgefið; fyrirtækjagáttir leyfa það stundum eftir hópum.
Athugaðu stefnuna áður en þú breytir einhverju á hýsilnum. Ef slóð ganganna svarar frá gáttinni sjálfri en ekki frá jafningja er munurinn stilling gáttarinnar fyrir biðlara-í-biðlara og engin breyting á staðbundnum eldvegg getur komið í staðinn.
Að lokum, finndu stefnuna sem leyfir flæðið
Þrjú stefnulög liggja milli beinds pakka og þjónustu sem svarar: ákvörðun VPN-þjónsins um framsendingu, eldveggur hýsilsins og hvaða skýjaöryggishópur sem er fyrir framan eintakið. Öll þrjú verða að vera sammála og þau mistakast á ólíka vegu, þess vegna er einkennið í töflunni hér fyrir ofan gagnlegra en villuskilaboðin í vafranum.
Eldveggur hýsilsins er lagið sem fólk gleymir eftir árangursríka bindingu, því regla sem leyfir portið á LAN-tenginu leyfir það ekki sjálfkrafa á tengi ganganna. Reglur sem takmarkast við tengi eru rétt hönnun og jafnframt venjulega ástæðan fyrir þjónustu sem virkar frá skrifstofunni en ekki heiman frá. Lestu umfang reglunnar, ekki portnúmerið.
Stöðuvaktandi síun skýrir hið gagnstæða tilvik. Útleið frá fartölvunni þinni býr til stöðu og svör við henni eru hleypt inn án inngangsreglu. Tenging samstarfsmannsins er algerlega nýtt flæði án stöðu á bak við sig, svo hún þarf skýra heimild. Þetta misræmi er öll ástæðan fyrir því að vafralota sem virkar á þinni eigin vél segir ekkert um hvort þjónustan sé aðgengileg að utan.
Þegar ein athugun mistekst skaltu breyta hönnuninni, ekki göngunum
Ef krafan er að samstarfsmaður opni staðbundnu þjónustuna þína er heiðarlegt svar venjulega fyrirkomulag sem byggt er fyrir inngangsaðgang. Öfugt SSH-göng eru minnst: vélin þín tengist út á hýsil sem samstarfsmaðurinn kemst þegar á og hlustandinn er til á þeim hýsli.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Endursendingin þarf GatewayPorts clientspecified í SSH-þjónsstillingunni, annars bindast framsendi hlustandinn loopback á endursendingunni og samstarfsmaðurinn lendir í sömu synjun og áður. Fyrir allt sem varir lengur en einn síðdegi er hleðsludreifir eða ingress með heilsuathugun og skírteini fyrir birtu nafnið betra tólið, og göng milli staða með leiðum fyrir bæði undirnetin eru rétta svarið þegar tvö net þurfa virkilega að tala saman.
Hver þessara hönnunar gerir útsetninguna skýra og það er pointinn. VPN flytur pakka milli neta sem þú hafðir þegar heimild til að nota; það birtir ekki þjónustu og breytir ekki fartölvu í hýsil sem snýr að internetinu. Verkefnið er að ákveða hvaða þriggja laga eigi að breyta og göngin eru sjaldan eitt þeirra.