VPN туннелиңиздин дареги кирүүчү портту эмнеге ачпайт
Туннелдин дареги кардарыңызды ага маршруттай алган өнөктөштөргө таанытат жана эч качан угуучу түзбөйт. Байлоону, кайтуу маршрутун, анан саясатты текшериңиз.
Кеңсе VPN'ине туташыңыз, 8443 портунда кичинекей кызматты иштетиңиз, туннелдин дарегин кесиптешиңизге жөнөтүңүз жана кардар дагы эле туташкандыгын билдирип турганда байланыш ишке ашпай калганын көрүңүз. Туннелде эч нерсе бузулган эмес: дарек берилген, сессия активдүү, ал эми жоопту алып жүрүүчү пакеттер жөн эле эч качан өткөрүлбөйт. Төмөнкү үч текшерүүнү тартиби менен аткарыңыз жана ишке ашпаганында токтоңуз, анткени ар биринин оңдоосу башка жана алардын бирөө гана VPN'ге тиешелүү.
Сокеттин чындыгында кайда байланганынан баштаңыз
Бир нерсе маршрутталышынан мурун, чалуучу жете алган даректе бир нерсе угуп турушу керек. Иштеп чыгуу серверлери адаттагы күнөөлүү, анткени алардын көбү демейки боюнча loopback'ке байланып, ошол эле машинадан чыккан туташууларды гана кабыл алат. Туннелдин дареги бул байлоону өзгөртпөйт, жана операциялык система VPN аралашканга чейин эле туташууну четке кагат.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Абалды эмес, жергиликтүү дарек тилкесин окуңуз. 127.0.0.1:8443 loopback гана дегенди билдирет, ал эми оңдоо 0.0.0.0 же туннелдин дарегине байлоо. 0.0.0.0:8443 бардык интерфейстерде кабыл алат, бул машинанын коомдук дареги да болгондо көпчүлүк ойлогондон кененирээк; 10.64.7.15:8443 кесиптеш жете алган жерде гана угуучу тар версия. Ошол эле чыгыштагы процесстин атын да байкаңыз, анткени мурунку сыноодон калган ашыкча нуска порттун ачык көрүнүшүнүн жана туура эмес мазмун менен жооп беришинин кадимки себеби.
Анан ошол дарекке бир нерсе маршруттай алабы деп сураңыз
Туннелдин дарегинин мааниси ошол префиксти туннелге жөнөтүүгө конфигурацияланган өнөктөштөр үчүн гана бар. Кесиптешиңиздин машинасынын өз таблицасы бар, жана туннелдин ички тармагына маршрут болбосо, пакет демейки шлюзга кетет жана даректин бар экенин билбеген жерде өлөт. Бул чалуучу тараптагы маршруттоо маселеси, сиздин тараптагы уруксат эмес.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Эки кардардын ортосундагы сервер да ошончолук маанилүү. Адаттагы аралыктан кирүү долбоорунда ар бир кардар шлюзге чыгуучу туташуу ачат жана шлюз ошол агымдардын абалын сактайт, ошондуктан жооптор өзү мурунтан билген жол менен кайтат. Бир кардардан экинчисине туташуу — шлюз кабыл алып, андан ары жөнөтүшү керек болгон жаңы агым, жана көптөгөн жайгаштыруулар кардарларды бири-биринен обочолонуу үчүн муну атайын өчүрөт. Керектөөчү VPN кызматтары адатта демейки боюнча обочолойт; корпоративдик шлюздар кээде топ боюнча уруксат берет.
Хосттогу бир нерсени өзгөртүүдөн мурун багытты текшериңиз. Эгер туннелдин дареги шлюздун өзүнөн жооп берип, өнөктөштөн бербесе, айырма шлюздун кардардан кардарга параметри, жана жергиликтүү брандмауэрди оңдоонун эч кандай өлчөмү аны алмаштыра албайт.
Акырында, агымга уруксат берген саясатты табыңыз
Маршрутталган пакет менен жооп берүүчү кызматтын ортосунда үч саясат катмары турат: VPN серверинин өткөрүү чечими, хосттун брандмауэри жана нусканын алдындагы каалаган булут коопсуздук тобу. Үчөө тең макул болушу керек, жана алар ар башкача ишке ашпайт, ошондуктан жогорудагы таблицадагы симптом браузердеги ката билдирүүсүнөн пайдалуураак.
Хосттун брандмауэри — ийгиликтүү байлоодон кийин адамдар унутуп калган катмар, анткени LAN интерфейсинде портко уруксат берген эреже аны туннелдин интерфейсинде автоматтык түрдө уруксат бербейт. Интерфейс менен чектелген эрежелер туура долбоор жана ошону менен бирге кеңседен иштеп, үйдөн иштебеген кызматтын адаттагы себеби. Эреженин порт номерин эмес, камтылышын окуңуз.
Абалга негизделген фильтрлөө карама-каршы учурду түшүндүрөт. Ноутбугуңуздан чыккан туташуу абал түзөт, жана ага жооптор кирүүчү эрежесиз өткөрүлөт. Кесиптешиңиздин туташуусу артында абалы жок толук жаңы агым, ошондуктан ага ачык уруксат керек. Бул асимметрия — өз машинаңызда иштеген браузер сессиясынын кызматтын сырттан жеткиликтүүлүгү жөнүндө эч нерсе айтпашынын бүткүл себеби.
Бир текшерүү ишке ашпаса, туннелди эмес, долбоорду өзгөртүңүз
Эгер талап кесиптешиңиздин жергиликтүү кызматыңызды ачышы болсо, чынчыл жооп адатта кирүүчү жеткиликтүүлүк үчүн курулган механизм. Тескери SSH туннели эң кичинеси: машинаңыз кесиптеш мурунтан жете алган хостко чыгуучу туташуу түзөт, ал эми угуучу ошол хостто болот.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Ретранслятор өзүнүн SSH сервер конфигурациясында GatewayPorts clientspecified талап кылат, антпесе жөнөтүлгөн угуучу ретранслятордо loopback'ке байланып, кесиптеш мурункудай эле четке кагууга туш болот. Бир түштөн кийин узакка созулган нерселер үчүн ден соолук текшерүүсү жана жарыяланган атка сертификаты бар жүктөм теңдештиргич же ingress жакшыраак курал, ал эми эки тармак чын эле сүйлөшүүгө тийиш болгондо эки ички тармакка тең маршруттары бар сайттан сайтка туннель туура жооп.
Бул долбоорлордун ар бири таасирди ачык кылат, жана маселенин маңызы ошондо. VPN пакеттерди сиз мурунтан пайдаланууга укуктуу болгон тармактардын ортосунда жылдырат; ал кызматты жарыялабайт жана ноутбукту интернетке караган хостко айландырбайт. Үч катмардын кайсынысын өзгөртүүнү чечүү — милдет, ал эми туннель алардын ичинен сейрек болот.