VPN клиенті қосылғанда веб-сервер жоғалып кетеді

VPN клиенті қосылған сәтте жоғалып кететін қызмет әдетте блокталмайды, ол дұрыс емес интерфейс арқылы жауап береді. Сұраныс физикалық желілік картаға келеді, демон жауап жазады және маршруттау кестесі бұл жауапты туннельге береді, өйткені туннель әдепкі маршрутты қабылдап алған. Қашықтағы клиент өзі ашқан қосылымға жауапты ешқашан көрмейді, сондықтан ол күтеді, содан кейін уақыт біткенін хабарлайды. Бұл тізбектің ешбір жерінде брандмауэр ережесі қатыспайды.

Симптом: сұраныстар ішке, жауаптар дұрыс емес есіктен сыртқа

Белгі — хосттағы қалғанның бәрі жұмыс істеп тұрғанда сәтсіз аяқталатын кіріс қосылымы. Тағы бір белгі — LAN-дан қолжетімді, бірақ интернеттен емес хост, немесе туннель қайта қосылғанша жұмыс істеп, содан кейін тоқтайтын хост. Әр жағдайда алға бағыт жұмыс істеді, кері бағыт істемеді, бұл саясатқа емес, маршруттау асимметриясына нұсқайды.

Мұны жауаптың қайда кететінін бақылау арқылы растаңыз, сұраныстың қалай келетінін бақылау арқылы емес.

Физикалық интерфейсте және туннель құрылғысында бір уақытта ұстаңыз. Егер сұраныс физикалық интерфейсте көрінсе, ал жауап туннельде көрінсе, диагностика аяқталды. Ешбір жерде көрінбейтін жауап қызметтің қосылымды ешқашан қабылдамағанын білдіреді, бұл бөлек себеппен жүргізілетін бөлек тергеу.

Екі әдепкі маршрут және бір маршруттау шешімі

Әдепкі маршрутты орнататын клиент LAN шлюзіне қарағанда жақсы метрикасы бар екінші жазбаны қосады. Кейбір клиенттер оның орнына екі жартыауқымды маршрут орнатады, олар сол кеңістікті нақтырақ қамтиды және іздеуді дәл солай ұтады. Екі әдіс те қарапайым шығыс пакеттерге туннель интерфейсін таңдауға мүмкіндік береді.

Бұл таңдау тек межелі орын бойынша жасалады. Ядро пакеттің қайдан келгенін сұрамайды, егер саясат ережесі оған бұйырмаса. Сондықтан жалпыға қолжетімді клиент мекенжайына жауап туннельге беріледі, оның алыс ұшы өзіне тиесілі емес бастау мекенжайы бар пакетті алады және оны тастайды немесе пайдасыз жерге жібереді. Linux-те қатаң кері жол сүзгісі бастапқы сұранысты сіздің қызметіңіз оны көрмей тұрып та тастай алады, бұл сырттан бірдей көрінеді. Екі симптом да кіріс ағыны мен оның жауабы арасындағы сол бір жетіспейтін байланыстан туындайды.

Туннель бүкіл уақыт бойы дұрыс әрекет етеді. Оған әдепкі маршрутты алып жүру тапсырылған және ол дәл соны жасайды.

Туннельді бұзбай кері жолды түзетіңіз

Жөндеудің үш тұрақты түрі бар және таңдау хосттың өз трафигінің қаншасы туннель ішінде қалуы керектігіне байланысты. Қызметтің межелі орнын немесе портын алып тастау — ең кіші өзгеріс. Бастау немесе белгі бойынша саясаттық маршруттау ең дәл. Бастау трансляциясы ең дөрекі және екі жылдан кейін түсіндіруге ең оңай.

Хост не істеуі керектігіне қарай таңдаңыз, алғаш тапқан үзіндіңізге қарай емес.

Межелі орынды алып тастау тұрақты жалпыға қолжетімді мекенжайы бар қызметке сай келеді, ал демонды барлық мекенжайға емес, физикалық мекенжайға байлау бұл алып тастауды қауіпсіз етеді. Кестені бастау бойынша таңдайтын саясат ережесі хосттың өз қосылымдарын туннель ішінде ұстайды және қызмет жауаптарын WAN шлюзі арқылы қайтарады. Жауаптарды WAN интерфейсінде маскалау сол жолға жетеді, бірақ қызмет журналдарынан клиент мекенжайын жасыру құнымен. Әдепкі маршрутты алаңсыз өзгерту — конфигурация емес, диагностика, өйткені клиент әр қайта қосылуда маршруттарды қайта жазады.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Хост өзінің артындағы LAN үшін де маршруттағанда

Бір секіріс әрі қарай, сол асимметрия қозғалмалы бөліктері көбірек қайтады. Трафик интернеттен маршрутизаторға жетеді, ішкі құрылғыға жіберіледі, ал сол құрылғының қайтатын жалғыз жолы — туннель, сондықтан жауап бастапқы клиентке провайдердің өз мекенжайынан жетеді. Содан кейін қосылымдарды бақылау басталуын көрмеген ағынға жауапқа тап болады және оны тастайды. Клиент бұл арада ештеңе көрмейді.

Мұны екі өзгеріс түзетеді: кіріс қосылым ішкі құрылғыға жетуі үшін межелі орын трансляциясы және сол құрылғының жауабы маршрутизатордың өзінен келгендей көрінуі үшін бастау трансляциясы.

Маршрутизатор прошивкасында әдеттегі өрнек — портты қайта бағыттауды WAN жағына бекітетін саясат ережесі, ал маршрутизатордың өз трафигі туннельмен жүреді. Бастау трансляциясынсыз бұл жауап сыртқы клиентке арналған және ішкі құрылғының оған барар маршруты жоқ. Үш нәрсені бөлек тексеріңіз, өйткені олар түрлі себептермен сәтсіз болады: сырттан келетін қосылым, хосттың өзі бастайтын қосылым және атау іздеу.