Веб-сервериңиздеги VPN клиенти анын жоопторун бузабы?

Сайт ошол эле тармактагы ноутбуктан жүктөлөт, ал эми башка бардык жерден убакыт бүтүп калат, ошондой эле хост өзүнүн чыгуучу трафиги үчүн VPN клиентин да иштетип турат. Бул айкалыш белгилүү бузулууну жаратат: кирүүчү байланыш келет, жооп туура эмес жол менен чыгат, ал эми сырттагы клиент эч качан жооп көрбөйт. Эки жарымы тең бирдей пакет жазуусунда көрүнөт, ошондуктан окууга татыктуу бөлүк — окуялардын тартиби.

Булакка негизделген маршрут эрежеси көбүнчө симптомду оңдойт. Ал адатта аны жараткан сайттан да көбүрөөк трафикти бошотот, ал эми эрежени сактоодон мурун түшүнүү керек бөлүк — дал ушул.

Симптом: жергиликтүү жооп берет, сырттан бербейт

Тармактын ичинде жооп тоннелден өтүшү шарт эмес, ошондуктан барак жүктөлөт жана кызмат соо көрүнөт. Сырттан суроо хостко жетет, ал эми жооп VPN ичине багытталат, анда алыскы учтун аны кабыл алууга эч кандай себеби жок. Браузер баш тартуунун ордуна убакыт бүтүүсүн көрөт, бул жабык порттун эмес, бир багыттуу жолдун белгиси.

Маршруттоону өзгөртүүдөн мурун форманы ырастаңыз: угуучу иштеп турат, жергиликтүү суроо ийгиликтүү, ал эми сырткы суроо такыр жооп бербейт. Бул үч байкоо бирге веб-сервердин конфигурациясына эмес, кайтаруу жолуна көрсөтөт. Ушундай таза асимметрия кандайдыр бир журнал сабынан пайдалуураак, анткени ал бир дагы ката билдирүүсүн окуудан мурун угуучуну жокко чыгарат.

Иштеп жатканда көз карандысыз административдик жолду ачык кармаңыз. Өз SSH сессияңызды буза турган эреже он мүнөттүк оңдоону физикалык сапарга айландырат.

Булак селектору чындыгында эмнеге дал келет

Linux саясаттык маршруттоосунда from 192.168.50.2 сыяктуу эреже булагы ошол дарек болгон пакеттерге дал келет. Ал пакеттин үй маршрутизатору аркылуу кирген сүйлөшүүнү улантып жатканын коддобойт жана аны кайсы процесс жаратканын билбейт. Ошол мисалдагы дарек иллюстративдик; аны хост чындыгында колдонгон дарек менен алмаштырыңыз. Сапты даректер жөнүндө билдирүү катары караңыз, андан ашык эмес.

Эгер тандалган таблица кадимки демейки маршрут берсе, ошол булакты алып жүргөн ар бир пакет ошол эле өзгөчөлүктү ала алат. Ошол дарекке байланган башка кызмат аны мураска алат, ал эми ошол дарекке атайын байланган колдонмо да аны мураска алат. Саясат эрежелеринин маалымдамасы булакты, багытты, протоколду, портту, белгини жана артыкчылыкты өзүнчө селекторлор катары тизет, бул булак гана жеткиликтүү эң орой экенин эскертет.

Артыкчылык жыйынтыкты чечет. Издөөлөр тартип менен жүрөт жана жыйынтык берген биринчи таблица издөөнү бүтүрүшү мүмкүн, ошондуктан өтө эрте коюлган эреже кийинки таблица бермек болгон такыраак маршрутту жашыра алат. Кошкон бир сапты эмес, бүт тартиптелген тизмени окуңуз. Эч качан дал келбеген эреже эч нерсе турбайт, ал эми өтө эрте дал келген эреже артындагынын баарын унчукпай өзгөртөт.

Кайтаруу жолун жана ойлогон эмес трафикти текшериңиз

Эрежелерди жана таблицаларды окуңуз, анан ядродон белгилүү булак менен багыттын жуп канчалык маршрут алаарын сураңыз. Хосттун өзүнөн сыноо сырттан сыноо менен бирдей эмес, ошондуктан экөөнү тең жасаңыз.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Анан жаңы сырткы байланышты жана өзүнчө, дагы эле VPN аркылуу чыгышы керек болгон суроону кабыл алыңыз. Эгер экинчиси азыр түз чыгып жатса, өзгөчөлүк чечип жаткан маселеден кененирээк, ал эми маанилүү сыноо — өзгөртүүнү ойлогон эмес сыноо.

Браузердеги коомдук даректи текшерүү ушул браузер жасаган суроолор жөнүндө гана билдирет. Ал веб-сервердин жооптору, башка жергиликтүү колдонмонун булак тандоосу же кийинки VPN кайра туташуусунан кийин административдик трафикке эмне болору жөнүндө эч нерсе айтпайт.

Өзгөчөлүк канчалык тар боло аларын чечиңиз

Эки долбоор корголушу мүмкүн жана аларды атайын тандоо керек. Эгер хост ушул кызматты жарыялоо үчүн бар болсо жана анын чыгуучу трафиги маанилүү эмес болсо, WAN гана саясаты бар атайын жергиликтүү дарек — бүт көлөмдү кабыл алсаңыз, орундуу чечим. Эгер тек белгилүү кирүүчү байланыштар жарактуу болушу керек болсо, дарек тандоо өтө орой жана анын алдында байланыштарды эске алган долбоор турушу керек.

Таянып жаткан келишимди жазып алыңыз: коомдук салыштыруу, суроо жеткириле турган хост дареги жана жооп жүрүшү керек жол. VPN провайдери аркылуу жарыяланган кирүүчү кызмат үй маршрутизатору аркылуу жарыялангандан башка келишим, ал эми бир мисалдан көчүрүлгөн өзгөчөлүк экинчисине көп учурда туура эмес.

Буйрукту иштетүү файлына чаптоонун ордуна маршруттоого ээ компонентте саясатты сактаңыз. Эрежелердин тартиби, тармак өзгөргөндөн кийинки тазалоо жана кайра жүктөөдөн кийинки кайталоо — баары өтүшү керек, ал эми сыналбаган иштетүү файлы адатта сиз карабаган учурда ишке ашпай калат. Коргой алган кабыл алуу жыйынтыгы менен бүтүрүңүз: бир жарыяланган сайт калыбына келтирилди жана бир байланышсыз агым өзгөрүүсүз калды.