VPN кардары туташканда веб-сервер жоголот

VPN кардары туташкан учурда жоголуп кетүүчү кызмат адатта блоктолбойт, ал туура эмес интерфейс аркылуу жооп берет. Суроо физикалык тармак картасына келет, демон жооп жазат жана маршруттоо таблицасы бул жоопту туннелге берет, анткени туннел демейки маршрутту ээлеп алган. Алыскы кардар өзү ачкан туташууга жоопту эч качан көрбөйт, ошондуктан күтөт жана анан убакыт бүткөндүгүн билдирет. Бул ырааттуулуктун эч жеринде брандмауэр эрежеси катышпайт.

Симптом: суроолор ичке, жооптор туура эмес эшиктен сыртка

Белги — хосттогу калган нерселердин баары иштеп жатканда ийгиликсиз болгон кирүү туташуусу. Дагы бир белги — LAN-дан жетүүгө боло турган, бирок интернеттен жетүүгө болбой турган хост, же туннел кайра туташканга чейин иштеп, анан токтогон хост. Ар бир учурда алдыга багыт иштеди, кайра багыт иштеген жок, бул саясатка эмес, маршруттоо асимметриясына көрсөтөт.

Жооп кайда кетээрин байкоо менен ырастаңыз, суроонун кантип келерин байкоо менен эмес.

Физикалык интерфейсте жана туннел түзмөгүндө бир убакта кармаңыз. Эгер суроо физикалык интерфейсте көрүнүп, жооп туннелде көрүнсө, диагностика бүттү. Эч жерде көрүнбөгөн жооп кызмат туташууну эч качан кабыл албаганын билдирет, бул өзүнчө себеп менен жүргүзүлүүчү өзүнчө иликтөө.

Эки демейки маршрут жана бир маршруттоо чечими

Демейки маршрутту орноткон кардар LAN дарбазасына караганда жакшыраак метрика менен экинчи жазууну кошот. Айрым кардарлар анын ордуна эки жарым-диапазондук маршрут орнотушат, алар ошол эле мейкиндикти такыраак камтыйт жана издөөнү ошондой эле утат. Эки ыкма тең кадимки чыгуучу пакеттерди туннел интерфейсин тандоого калтырат.

Бул тандоо болгону багытка жараша жасалат. Өзөк пакеттин кайдан келгенин сурабайт, эгер саясат эрежеси ага буйрук бербесе. Ошондуктан коомдук кардар дарегине жооп туннелге берилет, анын алыскы учу өзүнө тиешелүү эмес булак дареги бар пакетти алат жана аны таштайт же пайдасыз жерге жөнөтөт. Linux системинде катуу тескери жол чыпкалоо баштапкы суроону сиздин кызматыңыз аны көрө электе эле ташташы мүмкүн, бул сырттан бирдей көрүнөт. Эки симптом тең кирүү агымы менен анын жообунун ортосундагы ошол эле жетишпеген байланыштан келип чыгат.

Туннел бүт убакыт бою туура аракеттенет. Ага демейки маршрутту алып жүрүү тапшырылган жана ал дал ошону жасайт.

Туннелди бузбай кайтуу жолун оңдоңуз

Оңдоонун үч туруктуу формасы бар жана тандоо хосттун өз трафигинин канча бөлүгү туннелдин ичинде калышы керектигине байланыштуу. Кызматтын багытын же портун четтетүү — эң кичине өзгөртүү. Булак же белги боюнча саясаттык маршруттоо эң так. Булак которуусу эң одоно жана эки жылдан кийин түшүндүрүүгө эң жеңил.

Хост эмне кылышы керектигине жараша тандаңыз, биринчи тапкан үзүндүңүзгө жараша эмес.

Багытты четтетүү туруктуу коомдук дареги бар кызматка ылайыктуу, ал эми демонду бардык дарекке эмес, физикалык дарекке байлоо бул четтетүүнү коопсуз кылат. Таблицаны булак боюнча тандаган саясат эрежеси хосттун өз туташууларын туннелдин ичинде кармайт жана кызматтын жоопторун WAN дарбазасы аркылуу кайтарат. Жоопторду WAN интерфейсинде маскалоо ошол эле жолго жетет, бирок кызматтын журналдарынан кардардын дарегин жашыруу баасы менен. Демейки маршрутту орунсуз өзгөртүү — конфигурация эмес, диагностика, анткени кардар ар бир кайра туташууда маршруттарды кайра жазат.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Хост өзүнүн артындагы LAN үчүн да маршруттаганда

Бир секирик ары, ошол эле асимметрия кыймылдуу бөлүктөрү көбүрөөк кайтат. Трафик интернеттен маршрутизаторго жетет, ички түзмөккө жөнөтүлөт, ал эми ошол түзмөктүн кайтуучу жалгыз жолу — туннел, ошондуктан жооп баштапкы кардарга провайдердин өз дарегинен жетет. Анан туташууларды көзөмөлдөө башталышын көрбөгөн агымга жоопко туш болуп, аны таштайт. Кардар бул арада эч нерсе көрбөйт.

Муну эки өзгөртүү оңдойт: кирүү туташуусу ички түзмөккө жетүү үчүн багыт которуусу жана ошол түзмөктүн жообу маршрутизатордун өзүнөн келгендей көрүнүү үчүн булак которуусу.

Маршрутизатордун прошивкасында кадимки туюнтма — портту кайра багыттоону WAN тарапка бекиткен саясат эрежеси, ал эми маршрутизатордун өз трафиги туннел менен жүрөт. Булак которуусу жок болсо, бул жооп сырткы кардарга арналган жана ички түзмөктүн ага барар маршруту жок. Үч нерсени өзүнчө текшериңиз, анткени алар ар башка себептерден ийгиликсиз болот: сырттан келген туташуу, хост өзү баштаган туташуу жана ат издөө.