NGINX VPN кардары үчүн кайсы булак дарегин журналга жазат?

NGINX бир хосттогу OpenVPNдин жанында эмнени көрөрүн чечиңиз: ички туннел дареги, ачык чыгуу дареги же өткөрүлгөн теңдеш, басып өткөн жолго жараша.

Бир эле хосттогу NGINX жана OpenVPN жөндөөсүндө кардардын үч дареги көрүнөт, ар бири сурам ала ала турган бир жол үчүн. Туннел дарегине жеткен браузер, ачык дарекке жеткен браузер жана шлюздун интернет жолу менен чыккан программа, угуучу сокетте баары башкача көрүнөт. Журнал сабын чечмелер алдында кайсы жолду карап жатканыңызды аныктаңыз. Чечим кардар колдонгон багытка, тышкы VPN акыркы чекити үчүн ал кармаган өзгөчөлүккө жана жолдо бир нерсе пакетти которуудабы же жокпуга байланыштуу.

Колдонуучу ким экенине эмес, багытка карап чечиңиз

Сурам жөнөтүлгөн даректен баштаңыз, анткени жолду ошол дарек тандайт. Хосттун туннел дарегине сурам туннел интерфейсине кардардын ички дарегин булак катары алып келет. Хосттун ачык дарегине сурам адатта интернетке караган интерфейске кардардын ачык дареги менен келет, ошол эле ноутбукта ошол учурда туннел орнотулган болсо да. Ошондуктан VPN пулуна мүчөлүк пакеттин жолунун касиети, колдонуучунун артынан ээрчиген касиет эмес.

Path the request tookSource the site normally records
Client reaches the site at its tunnel address, 10.24.0.1Client inner address, 10.24.0.20
Client reaches another internet site through the gatewayGateway public egress address, 192.0.2.44
Client reaches the gateway's public address through the endpoint exceptionClient's own public access address

Журналда туннелге эч катышы жок дарек менен VPN колдонуучусу пайда болгондо эң оболу ушул үчүнчү сапты текшерүү керек. Бул ошондой эле эмне үчүн бир профилдеги эки колдонуучу ар башка жазуу түзө аларын түшүндүрөт: алардын өз кирүү тармактары башка, жана туннелдин ичинде эч нерсе анын үстүнөн жазбайт.

Эмне үчүн тышкы акыркы чекит экинчи ачык жолду түзөт

Кардар туннелди орнотуу үчүн шлюздун ачык дарегине жетиши керек, ошондуктан ошол дарекке жол туннелден сыртта болушу керек. Кардар бардык трафикти ичке буруп жөнөткөндө, акылдуу ишке ашыруу өзүнө көз каранды туннелден качуу үчүн сервердин ачык дарегине ачык хост жолун сактайт. Ал өзгөчөлүк кызматтарга карата тандабайт, ошондуктан ошол ачык дарекке бардык сурам ага ээрчийт, шлюзде жайгашкан сайтка браузердин сурамы да кошо.

Бул тармактагы түшүнүксүз отчёттордун көбүнүн артындагы механизм жана ал серверге эмес, кардардын ишке ашырылышына байланыштуу. Ошондуктан бирдей профилдеги эки кардар башкача алып жүрүшү мүмкүн. Журналды »оңдоо« үчүн өзгөчөлүктү алып салуу туннелди да кошо кулатат, ошондуктан аны сактап, анын айланасында долбоорлоңуз.

Сокетти, таблицаны жана журнал форматын чогуу окуңуз

Үч байкоо кайсы жолду карап жатканыңызды чечет: сокет кайда угат, кайсы интерфейс багытка жооп берет жана журнал форматы чындыгында эмнени жазат. Эгер угуучу туннел дарегине гана байланган болсо, ачык сурам ага такыр жете албайт, бул дароо эки сапты жокко чыгарат. Эгер кардар үчүн издөө туннел түзмөгүн кайтарса, сурам ички булак менен келген жана журнал муну көрсөтүшү керек.

ss -lntp 'sport = :443'
ip route get 10.24.0.20
ip route get 192.0.2.44

Андан кийин сапты эмес, форматты окуңуз. Өткөрүлгөн аталыш менен азыктанган талаа сокеттин теңдешин эмес, ырастоону жазат, ал эми ырастоо түздөн-түз теңдеш ишенимдүү прокси болгондо гана маанилүү. Эки бааны тең журналга жазуу кийинки талаштарды чечет, анткени түздөн-түз теңдеш менен алмаштырылган дарек ар башка фактылар жана алардын бири гана тармактан келген.

log_format tunneled '$remote_addr $realip_remote_addr $request $status';
grep -n 'log_format' /etc/nginx/nginx.conf

Каалаган кирүү чекитин тандап, DNSти макулдаштырыңыз

Эгер сайт туннел аркылуу гана болушу керек болсо, ага VPN кардарлары үчүн туннел дарегине чечилген ат бериңиз жана угуучу сокетте саясатты колдонуңуз. Ички ат үчүн 10.24.0.1 кайтарган бөлүнгөн DNS жообу ат чечүү деталынын кийиминдеги маршруттоо чечими. Эгер сайт ачык да болушу керек болсо, эки ат же эки порт сактаңыз жана кайсынысы сурамга кызмат кылганын журнал айтсын.

Уруксат эрежелери ошол эле логикага ээрчийт. Туннел пулуна уруксат берүү ачык сурамга укук бербейт жана интернет аркылуу келген байланышта ички даректи толтурбайт. Эки кирүү чекитин бир аттын астында аралаштыруу жазылган булакты долбоордук тандоонун ордуна кардардын маршруттоосунун жанындагы таасирге айландырат.

Жолду, анан саясатты текшериңиз

Жолду шлюзде алынган кармоо жана өзүңүз көзөмөлдөгөн сурам менен тастыктаңыз. Туннел түзмөгүндөгү кармоо жана ачык интерфейстеги бирөө кайсынысы байттарды ташыганын көрсөтөт, ал эми пакеттердин тартиби алардын ортосунда которуу болгонун айтат.

tcpdump -ni tun0 port 443 -c 5
tcpdump -ni eth0 port 443 -c 5

Анан кирүүнү эки багытта текшериңиз: көздөлгөн аттуу кирүү көздөлгөн кардар үчүн иштейт жана уруксат берилбеген ачык жол жөн гана жай болуунун ордуна четке кагылат. Жалпы IP-жаңырык сайты шлюздун интернетке чыгышы жөнүндө бир нерсе далилдейт жана ошол эле хосттогу бул сайт жөнүндө эч нерсе далилдебейт. Бет менен WebSocket макул болбосо, сервер конфигурациясына тийүүдөн мурун алардын URLдарын, дарек топторун жана DNS жоопторун салыштырыңыз.

Тектеш макалалар