VPN кардарынын артындагы сервер эмне үчүн туннель аркылуу жооп берет

VPN кардарын да иштеткен хостко кирүүчү байланыштар абдан өзгөчө түрдө ишке ашпайт: кол алышуу келет, демон жооп берет, ал эми кардар эч нерсе албайт. Портту эч нерсе бөгөттөбөйт. Жооп туннелден чыгып кетти, анткени туннель демейки маршрутка ээ жана өзөк жоопторду дарек боюнча маршруттайт, суроо кайдан келгенин эстөө боюнча эмес. Демон жакшы жана порт ачык.

Жооп маршрутталат, эстелип калбайт

Демейки маршрутту орноткон VPN кардары LAN дарбазасынан ашкан жазууну кошот, же метрика боюнча, же мейкиндикти эки так жарымга бөлүү аркылуу. Чыгуучу пакеттер эми туннелдин интерфейсин тандайт. Өзөк жооп берилип жаткан пакеттин башында кайдан келгенин эч качан сурабайт. Ошол бир өткөрүп жиберүү кийинки бардык белгилерди түшүндүрөт.

Алдыга багыт дарек боюнча маршрутталат, артка багыт да ошондой. Жооп туннель кубаныч менен ташый турган жамааттык кардарга арналган. Алыскы тарап өзүнө таандык эмес булагы бар пакетти алат, аны таштайт, ал эми баштапкы кардар убакыт бүткөнгө чейин күтөт.

Катуу артка жол чыпкасы кирүүчү пакетти демон окуганга чейин эле ыргытышы мүмкүн. Адегенде ошол эсептегичти текшериңиз, анткени чыпкадан ыргытуу менен маршруттоо катасы сырттан бирдей көрүнөт.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Биринчи буйрук азыр кайсы демейки маршрут жеңип жатканын көрсөтөт. Экинчиси катуу чыпкалоо глобалдык же ар бир интерфейс үчүн колдонуларын билдирет, үчүнчүсү катышуусу мүмкүн болгон өткөрмө чынжырдын каалаган эрежесин көрсөтөт.

Кайтуу жолун сактоонун үч жолу

Кызматтын дарегин туннелден тышкары калтыруу эң тар вариант. LAN дарбазасына багытталган хост маршруту, үстүнө бардык дарекке эмес, физикалык дарекке байланган демон ошол бир агымды туннелден тышкары кармайт. Өзгөртүү жергиликтүү жана артка кайтарууга оңой.

Саясат маршруттоо жалпы жооп. Булак дарегине же брандмауэр белгисине байланган эреже демейкиси WAN дарбазасына көрсөткөн таблицаны тандайт, ал эми хосттун өз байланыштары туннелди колдонууну улантат. Артыкчылыкты ачык кармаңыз, эреже кийин көлөкөдө калбашы үчүн.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Алгачкы эки буйрук жамааттык даректен чыккан жооптор үчүн альтернатива жолду курат. Үчүнчүсү өзөктөн так ошол булак менен даректин кайсы жолду аларын сурайт, ошентип эреженин кандайдыр бир таасири бар экенин ырастайсыз.

Булакты которуу үчүнчү вариант жана кызматтын алдында NAT жасап жаткан маршрутизаторго туруштук берген жалгыз вариант. Жооп ошол маршрутизаторго кайтышы керек, ал эми WAN интерфейсине маскалоо муну камсыздайт жана кардарды кызмат журналдарынан жашырат. Туташкандан кийин демейки маршрутту кол менен алмаштыруу диагностика, анткени кардар кийинки кайра туташууда таблицаны кайра жазат.

Куту LAN үчүн да маршруттаганда

Ошол эле бузулуу хост өзүнүн артындагы түзмөктөр үчүн маршруттаганда бир секирик алысыраак пайда болот. Кирүүчү байланыш жалгыз кайтуу жолу туннель болгон ички түзмөккө жөнөтүлөт, ал эми жооп провайдердин дарегинен сырткы кардарга жетет. Ички түзмөк бүт убакыт бою туура иштеп турат.

Анда байланыштарды көзөмөлдөө эч качан жазып албаган агымга жоопту көрүп, аны таштайт. Даректи которуу кирүүчү байланышты түзмөккө жеткирет, ал эми булакты которуу жоопту маршрутизатордун өзүнөн чыккандай көрсөтөт.

Өткөрүлгөн портту WAN'да кармап, маршрутизатордун өз трафиги туннелди колдонгон саясат маршруту тазараак эквивалент. Булакты которуусуз жооп сырткы кардарга арналат, ал эми ички түзмөктүн ошол дарекке такыр маршруту жок.

Себептерди ажыраткан үч текшерүү

Үч текшерүү жүргүзүңүз: интернеттен кутуга байланыш, андан жамааттык хостко байланыш жана ат издөө. Алгачкы экөө макул болбосо, кайтуу жолу күнөөлүү. Аттар эки багытта тең ишке ашпаса, чечүүчү туннелди гана бөлүшкөн башка бузулуу.

Адегенде маршруттоо маселесин оңдоңуз, анан аттарды караңыз. Экөөнү аралаштыруу — иштеп жаткан серверди бузулган чечүүчү үчүн күнөөлөөнүн жолу.

Өзгөчөлүк кайсы интерфейсти атаганын жазып алыңыз жана конфигурацияны версия көзөмөлүндө кармаңыз. Жаңыртуудан кийин аты өзгөргөн интерфейске каршы жазылган эреже бүгүн өтөт жана кийинки кайра жүктөөдөн кийин ишке ашпайт.