Шлюз өзүнүн админ баракчасын жайгаштырат: ички же ачык дарек

Админ баракча уюлдук интернеттеги телефондон жооп берет, VPNге кошулган ноутбуктан убакыт бүтөт. Тоннелде эч нерсе бузулган эмес, анткени сурам эч качан ага кирбейт. Хосттун аты шлюздүн ачык дарегине чечилет, ал эми бул дарек ал бүтүргөн тоннелдин сыртынан гана жеткиликтүү. Муну оңдоо кызматка жеке кирүү берүүнү билдирет, тышкы акыркы чекитти жылдырууну эмес.

Барак тоннел аркылуу эмес, сырттан жүктөлөт

Эки башка сурам салыштырылат. Уюлдук интернеттен браузер ачык дарекке түз жетет. Тоннелдин ичинен ошол эле ат ошол эле ачык дарекке чечилет, ал эми пакет эми тоннелдин өзүнүн алыскы тарабындагы дарекке жетүү үчүн тоннелден чыгышы керек. Ошол эле ат, ошол эле дарек, эки таптакыр башка абал.

Барар жердин маршруту даректи тандайт, портту эмес. Маршруттоо таблицасында 443 порту администрацияга, ал эми 1194 порту транспортко арналганын эч нерсе билбейт, ошондуктан экөө тең бирдей барар жер катары каралат.

Ошондуктан барак кээде иштейт, кээде иштебейт, кардар кайсы атты жана кайсы тармакты колдонгонуна жараша. Бул жол маселеси, аутентификация маселеси эмес. Эки кардар тең аутентификациядан жакшы өтөт.

Тышкы акыркы чекитти жеткиликтүү кармаңыз

Толук тоннель профилдерине VPN акыркы чекити үчүн өзгөчө маршрут керек, ал эми OpenVPNдин redirect-gateway опциясы так ушундайды сүрөттөйт: алыскы акыркы чекит мурунтан бар шлюз аркылуу маршрутту сактайт, ошондуктан тоннель өзүнө карай маршруттабайт. Ошол өзгөчөлүктү алып салсаңыз, шифрленген транспорт тоннелди ээрчийт, бул сессияны циклде бүтүрөт. Так ошол өзгөчөлүк акыркы чекиттин дареги тоннелдин ичинен жеткиликтүү бойдон калышынын себеби.

Натыйжа — ачык дарек кардардан жеткиликтүү бойдон калат, ошондуктан ошол дарекке браузер сурамы да ошол өзгөчөлүктү ээрчип, тоннелге кирбей чыга алат. Өзгөчөлүк өз ишин аткарат, ал эми зыянды ат келтирет.

Бир нерсени өзгөртүүдөн мурун интерфейс тизмесин эмес, маршруттун чечимин окуңуз. Төмөнкү буйруктар тизмени эмес, чечимди басып чыгарат. Аларды ийгиликсиз болгон кардардан иштетиңиз.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Эгер издөө акыркы чекиттин маршрутун физикалык шлюз аркылуу көрсөтсө, жүрүм-турум туура жана админ баракча жөн гана туура эмес жолго жиберилип жатат. Дал ушул жерде аттарды чечүү оңдоого айланат.

Кызматка жеке ат бериңиз

Кызматка тоннелдин ичинде шлюздүн дарегине чечиле турган ат керек, ошол эле учурда колдонмо күткөн сертификат жана хост атынын мааниси сакталат. Административдик ат үчүн жеке аймак жазуусу кадимки жооп, жана ал транспорттун атын тийбей калтырат.

Транспорттун атын ички дарекке кайра багыттабаңыз, анткени кийинки тоннел куруу тоннелдин ичинде гана бар дарекке жетүүгө аракет кылат. Бул ката так бир жолу иштеген VPN жаратат.

Эки дарек үй-бүлөсүн тең текшериңиз, анткени калып калган AAAA жазуусу браузерди жеке план эч качан камтыбаган жерге жибериши мүмкүн.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Саясатты процесстин иштеген жерине ылайыкташтырыңыз

Шлюзде угуп турган жергиликтүү процесс жергиликтүү кирүү жолу аркылуу жеткиликтүү, ошондуктан кирүү чынжыры жана сокетти байлоо сурамдын кабыл алынышын чечет. Жиберүү эрежелери жана IP жиберүү жергиликтүү угуучуну жооп берүүгө мажбурлабайт. Кирүү саясатында тоннелдин булактарына уруксат бериңиз жана процесс тоннель жете ала турган дарекке байланганын ырастаңыз.

Хосттун портунда жарыяланган контейнер башка жол менен жүрөт, анткени пакет барар жери боюнча которулуп, жиберилет. Бул сурам хосттун жиберүү саясатына жана Dockerдин өз эрежелерине туш келет, ошондуктан иштеген жергиликтүү угуучу ошол эле портту четке каккан контейнер менен катар жашай алат.

Ишке киргизүү тартиби эки учурда тең маанилүү, анткени тоннель көтөрүлгөндөн кийин гана пайда болгон дарекке байлоо жүктөө учурунда үнсүз ийгиликсиз болот.

Жеке жетүүнү жана четке кагылган ачык жолду текшериңиз

Колдонмонун өз инсандык текшерүүлөрүн бузбай, ыйгарым укуктуу кардардан жаңы аттуу сурам жасаңыз. Анан ошол эле кызматты тоннелдин сыртынан сынап көрүңүз жана анын жооп бербей жатканын ырастаңыз. Жеке ат — чектөө эмес, ыңгайлуулук, ал эми ачык дарекке дагы байланган угуучу дагы ачык. Дал ушул акыркы текшерүүнү көптөгөн серептер өткөрүп жиберет.

Колдонуучуларга берилген хост атын эмес, байлоолорду жана чыпканын абалын окуңуз. Ашкерелениш — сокеттин касиети, аттын эмес. Бул айырма ар кандай DNS өзгөрүүсүндө сакталат.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Ички сурам баракчаны кайтарса жана тышкы сурамдын убактысы бүтсө, кызматтын бир атайын жеке жолу бар жана транспорт жеткиликтүү бойдон калат. Тышкы сурам дагы жооп берсе, бирөө кызматты тек ички деп сүрөттөөдөн мурун угуучуну же жарыяланган контейнер жазуусун тарылтуу керек.