Веб-серверіңіздегі VPN клиенті оның жауаптарын бұза ма?

Сайт сол желідегі ноутбуктен жүктеледі, ал кез келген басқа жерден уақыт бітіп қалады, сонымен қатар хост өзінің шығыс трафигі үшін VPN клиентін де іске қосып тұр. Бұл үйлесім нақты ақау туғызады: кіріс қосылысы келеді, жауап дұрыс емес жолмен шығады, ал сырттағы клиент ешқашан жауап көрмейді. Екі жарты да бірдей пакет түсірілімінде көрінеді, сондықтан оқуға тұрарлық бөлік — оқиғалар реті.

Дереккөзге негізделген маршрут ережесі көбіне симптомды түзетеді. Ол әдетте оны тудырған сайттан да көбірек трафикті босатады, ал ережені сақтамас бұрын түсіну керек бөлік — дәл осы.

Симптом: жергілікті жауап береді, сырттан бермейді

Желі ішінде жауап туннельден өтуі міндетті емес, сондықтан бет жүктеледі және қызмет сау көрінеді. Сырттан сұраныс хостқа жетеді, ал жауап VPN ішіне бағытталады, онда алыс ұштың оны қабылдауға ешбір себебі жоқ. Браузер бас тартудың орнына уақыт бітуін көреді, бұл жабық порттың емес, бір бағытты жолдың белгісі.

Маршруттауды өзгерту алдында пішінді растаңыз: тыңдаушы жұмыс істеп тұр, жергілікті сұраныс сәтті, ал сыртқы сұраныс мүлде жауап бермейді. Осы үш байқау бірге веб-сервер конфигурациясына емес, қайтару жолына нұсқайды. Осындай таза асимметрия кез келген журнал жолынан пайдалырақ, өйткені ол бірде-бір қате хабарламасын оқымас бұрын тыңдаушыны жоққа шығарады.

Жұмыс істеп жатқанда тәуелсіз әкімшілік жолды ашық ұстаңыз. Өз SSH сессияңызды бұзатын ереже он минуттық түзетуді физикалық сапарға айналдырады.

Дереккөз селекторы шын мәнінде неге сәйкес келеді

Linux саясаттық маршруттауында from 192.168.50.2 тәрізді ереже дереккөзі сол мекенжай болатын пакеттерге сәйкес келеді. Ол пакеттің үй маршрутизаторы арқылы кірген әңгімені жалғастырып жатқанын кодтамайды және оны қай процесс жасағанын білмейді. Сол мысалдағы мекенжай иллюстративті; оны хост шын мәнінде қолданатын мекенжаймен алмастырыңыз. Жолды мекенжайлар туралы мәлімдеме ретінде қарастырыңыз, одан артық емес.

Егер таңдалған кесте қарапайым әдепкі маршрут берсе, сол дереккөзді тасымалдайтын әрбір пакет сол ерекшелікті қабылдай алады. Сол мекенжайға байланған басқа қызмет оны мұраға алады, ал сол мекенжайға әдейі байланатын қолданба да оны мұраға алады. Саясат ережелерінің анықтамасы дереккөзді, межені, протоколды, портты, белгіні және басымдықты жеке селекторлар ретінде тізеді, бұл тек дереккөздің қолжетімді ең дөрекісі екенін еске салады.

Басымдық нәтижені шешеді. Іздеулер ретімен жүреді және нәтиже беретін бірінші кесте іздеуді аяқтауы мүмкін, сондықтан тым ерте орналасқан ереже кейінгі кесте берер еді деген нақтырақ маршрутты жасыра алады. Қосқан жалғыз жолды емес, бүкіл реттелген тізімді оқыңыз. Ешқашан сәйкес келмейтін ереже ештеңе тұрмайды, ал тым ерте сәйкес келетін ереже артындағының бәрін үнсіз өзгертеді.

Қайтару жолын және ойламаған трафикті тексеріңіз

Ережелер мен кестелерді оқыңыз, содан кейін ядродан нақты дереккөз бен меже жұбы қай маршрутты алатынын сұраңыз. Хосттың өзінен сынау сырттан сынаумен бірдей емес, сондықтан екеуін де жасаңыз.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Содан кейін жаңа сыртқы қосылысты және бөлек, әлі де VPN арқылы шығуы тиіс сұранысты қабылдаңыз. Егер екіншісі қазір тікелей шығып жатса, ерекшелік шешіп жатқан мәселеден кеңірек, ал маңызды сынақ — өзгертуді ойламаған сынақ.

Браузердегі жария мекенжайды тексеру тек сол браузер жасаған сұраныстар туралы хабарлайды. Ол веб-сервер жауаптары, басқа жергілікті қолданбаның дереккөз таңдауы немесе келесі VPN қайта қосылуынан кейін әкімшілік трафикке не болатыны туралы ештеңе айтпайды.

Ерекшелік қаншалықты тар болуы мүмкін екенін шешіңіз

Екі жоба қорғануға тұрарлық және оларды әдейі таңдау керек. Егер хост осы қызметті жариялау үшін бар болса және оның шығыс трафигі маңызды емес болса, тек WAN саясаты бар арнайы жергілікті мекенжай — бүкіл ауқымды қабылдасаңыз, орынды шешім. Егер тек белгілі кіріс қосылыстар жарамды болуы керек болса, мекенжай таңдауы тым дөрекі және оның алдында қосылыстарды ескеретін жоба тұруы керек.

Сүйеніп отырған шартты жазып алыңыз: жария салыстыру, сұраныс жеткізілетін хост мекенжайы және жауап жүруі тиіс жол. VPN провайдері арқылы жарияланған кіріс қызметі үй маршрутизаторы арқылы жарияланғаннан басқа шарт, ал бір мысалдан көшірілген ерекшелік екіншісіне жиі қате.

Саясатты пәрменді іске қосу файлына қоюдың орнына маршруттауға ие компонентте сақтаңыз. Ережелер реті, желі өзгергеннен кейінгі тазалау және қайта жүктеуден кейінгі қайталау — бәрі де өтуі тиіс, ал сыналмаған іске қосу файлы әдетте сіз қарамайтын сәтте сәтсіздікке ұшырайды. Қорғай алатын қабылдау нәтижесімен аяқтаңыз: бір жарияланған сайт қалпына келтірілді және бір байланыссыз ағын өзгеріссіз қалды.