Конок VPN жана хост VPN: кайсы маршрут чынында жеңет

Эки клиент бир убакта иштеп жатат, экөө тең демейки маршрут өзүнө таандык деп ишенет, ал эми белги кызык нерсе катары көрүнөт: коноктун бир колдонмосу иштейт, экинчиси туура эмес жерге чечилет. Коноктун ичиндеги VPN жана хосттогу VPN катар жашай алат, бирок сырткы жол менен ички саясат ким эмнени ташыйт дегенде макулдашканда гана. Экөөнү тең баштоо өзүнөн өзү чынжыр жаратпайт. Адегенде туташууну жазып алыңыз, анан бир убакта бир нерсени өзгөртүңүз.

Адегенде коноктун туташуусун жазып алыңыз

Конок өзүнүн VPN серверине гипервизор берген жол менен жетет: хосттун артындагы NAT, физикалык сегментке көпүрө же үстүнө маршруттоо кошулган хостко гана арналган тармак. Ар бир туташуу конок эмнени көрө аларын жана хост анын трафиги менен эмне кыла аларын өзгөртөт. NAT астында коноктун пакеттери хосттон келгендей көрүнөт, ошондуктан хосттун өз туннели аларды конок бул тууралуу эч нерсе билбестен ташый алат. Көпүрө астында коноктун сегментте өз бар экендиги жана өз демейки дарбазасы бар.

Кандайдыр бир конфигурацияга тийүүдөн мурун туташууну, кайсы клиент кайсы колдонмону ташышы керектиги менен бирге жазып алыңыз. Ушул сүйлөм ушундай иштердин көбүн чечет, анткени эки клиент адатта ар башка божомолдорго курулган. Хосттун туннелин колдонушу күтүлгөн коноктун өзүнүн атаандаш демейки маршруту да болбошу керек.

Коноктун акыркы чекитин сыртты карай көзөмөлдөңүз

Конок VPN башка нерсе иштешинен мурун өз серверине жарактуу жол керек. Хосттун туннели күйүп, конок NAT артында отурганда, коноктун кол алышуусу хосттун туннелинен чыгат, бул же долбоор, же эч ким документтеген окуя. Хосттун туннели түшүп, конок ага көз каранды болсо, конок өз тарабында бир да өзгөрүүсүз байланышын жоготот. Акыркы чекитти сыртты карай көзөмөлдөө ошол экөөнүн кайсынысы чынында сизде экенин айтат.

Кандайдыр бир контекстте кенен маршрут экинчи клиент күткөн трафикти кармайт. Коноктун ичиндеги 0.0.0.0/0 маршруту жана толук туннелдүү хост клиенти экөө тең баарына талашат, ал эми акырында колдонулганы жеңет. Коноктун виртуалдык тармактары, жергиликтүү LAN жана алыскы тармактар ортосундагы кабатташуу жеке префикстер үчүн ошол эле таасирди берет, бузулуулар аутентификация маселелерине окшошот; даректерди которуу жүрүм-туруму контейнерлер тармагы үчүн сүрөттөлгөндөй эле.

Мурунку жана кийинки жазууну салыштырыңыз

Хосттун туннели өчүк абалда же саясатыңыз уруксат берген кандайдыр бир көзөмөлдөнгөн абалда базалык өлчөм алып, коноктун маршрутун жана чечүүчүсүн жазып алыңыз. Анан бириктирилген конфигурацияны колдонуп, эки жазууну салыштырыңыз, купуялуулук талаптарын бузбай. Түз базалык өлчөм ылайыктуу болбосо, салыштырууну өткөрүп жиберүүнүн ордуна ошол чектөөнү жазууга жазыңыз.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Маршрут суроосу белгилүү бир багытты ташый турган интерфейс менен булак дарегин атайт жана бул бул тергөөдөгү эң пайдалуу сап. Эрежелердин тизмеси саясаттык маршруттоо айрым багыттарды экинчи таблица аркылуу жөнөтөрүн көрсөтөт. Чечүүчүнүн чыгышы DNS коноктун туннелин ээрчигенин же хосттун жолунда калганын көрсөтөт. Ошол эле үч буйрукту өзгөртүүгө чейин жана андан кийин аткарыңыз, айырма күнөөлүүнү атайт.

Кайра жүктөөлөрдүн ортосунда ээликти так кармаңыз

Хост клиентинин жергиликтүү жетүү чектөөсү виртуалдык NAT же көпүрөгө трафикти тосо алат, жана бул чектөө көбүнчө коноктун эсептик маалыматынын маселеси менен чаташтырылат. Тест өтүшү үчүн чектөөнү өчүрүүнүн ордуна клиенттин документтелген жүрүм-турумун окуңуз. Колдоого алынган оңдоодон кийин коноктун колдонмосун жана өзүңүз талап кылган бузулуу саясатын кайра текшериңиз. Ийгиликтүү кайра туташкан хост коноктун маршруту же чечүүчүсү тууралуу эч нерсени далилдебейт.

Демейки маршрут кайсы тарапка таандык экенин чечип, аны иштетүү нускамасына жазыңыз. Коноктун кайра жүктөлүшү же хосттогу тармактын алмашуусу ээликти үнсүз теңкерсе, эч качан күнөөлүү болбогон VPN тууралуу ката отчёту пайда болот. Жайгаштыруу кайра жүктөөдөн кийин да сакталышы керек, эч ким эмне үчүн иштегенин эстебей эле.