ვებ სერვერი ქრება, როცა VPN კლიენტი უკავშირდება

სერვისი, რომელიც ქრება VPN კლიენტის მიერთების წამს, ჩვეულებრივ არ არის დაბლოკილი, არამედ პასუხობს არასწორი ინტერფეისით. მოთხოვნა ფიზიკურ ქსელურ ბარათზე მოდის, დემონი პასუხს წერს და მარშრუტიზაციის ცხრილი ამ პასუხს გვირაბს გადასცემს, რადგან გვირაბმა ნაგულისხმევი მარშრუტი აიღო. დისტანციური კლიენტი ვერასდროს ხედავს პასუხს მის მიერ გახსნილ კავშირზე, ამიტომ ის ელოდება და შემდეგ დროის ამოწურვას აცნობებს. ამ თანმიმდევრობაში არსად არ მონაწილეობს ფაირვოლის წესი.

სიმპტომი: მოთხოვნები შიგნით, პასუხები არასწორი კარიდან გარეთ

ნიშანია შემომავალი კავშირი, რომელიც ვერ ხერხდება მაშინ, როცა ჰოსტზე ყველაფერი მუშაობს. კიდევ ერთი ნიშანია ჰოსტი, რომელიც LAN-იდან ხელმისაწვდომია, ინტერნეტიდან კი არა, ან ის, რომელიც მუშაობს გვირაბის ხელახლა მიერთებამდე და შემდეგ ჩერდება. ყოველ შემთხვევაში წინა მიმართულება მუშაობდა, უკანა კი არა, რაც მიუთითებს მარშრუტიზაციის ასიმეტრიაზე და არა პოლიტიკაზე.

დაადასტურეთ ეს იმის დაკვირვებით, თუ სად მიდის პასუხი და არა იმის დაკვირვებით, როგორ მოდის მოთხოვნა.

დაიჭირეთ ერთდროულად ფიზიკურ ინტერფეისზე და გვირაბის მოწყობილობაზე. თუ მოთხოვნა ფიზიკურ ინტერფეისზე ჩნდება, პასუხი კი გვირაბზე, დიაგნოზი დასრულებულია. პასუხი, რომელიც არსად არ ჩანს, ნიშნავს, რომ სერვისმა კავშირი არასდროს არ მიიღო, რაც ცალკე გამოძიებაა ცალკე მიზეზით.

ორი ნაგულისხმევი მარშრუტი და ერთი მარშრუტიზაციის გადაწყვეტილება

კლიენტი, რომელიც ნაგულისხმევ მარშრუტს აყენებს, ამატებს მეორე ჩანაწერს LAN-ის კარიბჭეზე უკეთესი მეტრიკით. ზოგი კლიენტი ნაცვლად ორ ნახევარ-დიაპაზონის მარშრუტს აყენებს, რომლებიც იმავე სივრცეს უფრო კონკრეტულად ფარავს და ძიებას იგივენაირად იგებს. ორივე ტექნიკა ჩვეულებრივ გამავალ პაკეტებს გვირაბის ინტერფეისის არჩევის საშუალებას აძლევს.

ეს არჩევანი მხოლოდ დანიშნულებით კეთდება. ბირთვი არ კითხულობს, საიდან მოვიდა პაკეტი, თუ პოლიტიკის წესი ამას არ უბრძანებს. ამიტომ საჯარო კლიენტის მისამართზე პასუხი გვირაბს გადაეცემა, რომლის შორეული ბოლო იღებს პაკეტს წყაროს ისეთი მისამართით, რომელიც მას არ ეკუთვნის, და ან ისვრის მას, ან უსარგებლო ადგილას გადასცემს. Linux-ზე მკაცრმა უკუგზის ფილტრაციამ შეიძლება თავდაპირველი მოთხოვნაც გადააგდოს მანამ, სანამ თქვენი სერვისი მას დაინახავს, რაც გარედან იდენტურად გამოიყურება. ორივე სიმპტომი ერთი და იმავე უკმარი კავშირიდან მოდის შემომავალ ნაკადსა და მის პასუხს შორის.

გვირაბი მთელი დროის განმავლობაში სწორად იქცევა. მას უთხრეს, ეტარებინა ნაგულისხმევი მარშრუტი და ის ზუსტად ამას აკეთებს.

შეაკეთეთ დაბრუნების გზა გვირაბის გატეხვის გარეშე

არსებობს შეკეთების სამი მდგრადი ფორმა და არჩევანი დამოკიდებულია იმაზე, თუ რამდენი საკუთარი ტრაფიკი უნდა დარჩეს ჰოსტს გვირაბის შიგნით. სერვისის დანიშნულების ან პორტის გამორიცხვა ყველაზე მცირე ცვლილებაა. წყაროს ან ნიშნის მიხედვით პოლიტიკური მარშრუტიზაცია ყველაზე ზუსტია. წყაროს თარგმანი ყველაზე უხეშია და ორი წლის შემდეგ ახსნით ყველაზე მარტივი.

აირჩიეთ იმის მიხედვით, რა უნდა გააკეთოს ჰოსტმა და არა იმის მიხედვით, რომელი ფრაგმენტი იპოვეთ პირველად.

დანიშნულების გამორიცხვა უხდება სერვისს სტაბილური საჯარო მისამართით, და დემონის ფიზიკურ მისამართზე მიბმა ყველა მისამართის ნაცვლად ამ გამორიცხვას უფრო უსაფრთხოს ხდის. პოლიტიკის წესი, რომელიც ცხრილს წყაროს მიხედვით ირჩევს, ჰოსტის საკუთარ კავშირებს გვირაბში ინახავს და ამავდროულად სერვისის პასუხებს WAN კარიბჭით აბრუნებს. პასუხების WAN ინტერფეისზე ნიღბვა იმავე გზას აღწევს იმ ფასად, რომ კლიენტის მისამართი სერვისის ჟურნალებიდან იმალება. ნაგულისხმევი მარშრუტის ადგილობრივი შეცვლა დიაგნოზია და არა კონფიგურაცია, რადგან კლიენტი ყოველ ხელახალ მიერთებაზე მარშრუტებს ხელახლა წერს.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

როცა ჰოსტი თავის უკან მდებარე LAN-ისთვისაც მარშრუტიზებს

ერთი ჰოპით უფრო შორს, იგივე ასიმეტრია უფრო მეტი მოძრავი ნაწილით ბრუნდება. ტრაფიკი ინტერნეტიდან მარშრუტიზატორამდე აღწევს, შიდა მოწყობილობას გადაეცემა და ამ მოწყობილობის დაბრუნების ერთადერთი გზა გვირაბია, ამიტომ პასუხი თავდაპირველ კლიენტამდე თავად პროვაიდერის მისამართიდან აღწევს. შემდეგ კავშირების თვალთვალი ხვდება პასუხს ნაკადზე, რომლის დასაწყისიც არ უნახავს, და ისვრის მას. კლიენტი კი ამასობაში საერთოდ არაფერს ხედავს.

ორი ცვლილება ასწორებს ამას: დანიშნულების თარგმანი, რათა შემომავალი კავშირი შიდა მოწყობილობამდე მივიდეს, და წყაროს თარგმანი, რათა ამ მოწყობილობის პასუხი ისე გამოიყურებოდეს, თითქოს თავად მარშრუტიზატორიდან მოდის.

მარშრუტიზატორის პროგრამულ უზრუნველყოფაში ჩვეულებრივი გამოთქმაა პოლიტიკის წესი, რომელიც პორტის გადაცემას WAN მხარეს ამაგრებს, სანამ მარშრუტიზატორის საკუთარი ტრაფიკი გვირაბზე მიდის. წყაროს თარგმანის გარეშე ეს პასუხი გარე კლიენტზეა მიმართული და შიდა მოწყობილობას უბრალოდ არ აქვს მარშრუტი მისკენ. გამოსცადეთ სამი რამ ცალ-ცალკე, რადგან ისინი სხვადასხვა მიზეზით ვარდება: გარედან მომავალი კავშირი, ის, რომელსაც თავად ჰოსტი იწყებს, და სახელის ძიება.