Эмне үчүн Access Server кардарлары LANдан жеткиликсиз

Ноутбук туташат, туннель көтөрүлгөн, ал эми ички кызматка кеткен сурамдар туташуу учурунда илинип калат. Кызматтын өзүндө сурам 10.90.0.25 сыяктуу даректен келет, жооп демейки шлюзга карай чыгат жана эч нерсе кайтпайт, анткени ал шлюз 10.90.0.25 кайда экенин билбейт. Экинчи тараптан ошол эле бузулуу туташкан кардарга ping жасай албаган ички хост сыяктуу көрүнөт. Экөө тең бир жок объект: VPN кардарлар пулуна кайра маршрут, аны жеке тармак гана кошо алат.

Кызмат көргөн булак дарегин окуңуз

Ошол бир талаа калган баарын чечет. Эгер ички кызмат пул дарегин көрсө, Access Server кардар трафигин жашыруунун ордуна маршруттайт, жана ар бир жооп пулга кайра маршрутталышы керек. Эгер ордуна сервердин өзүнүн жеке дарегин көрсө, сервер маскировка кылат жана кайра жол буга чейин иштейт, бирок кызматтын журналдары менен кирүү эрежелеринде ар бир кардардын өздүгү жоголот.

Бир нерсени өзгөртүүдөн мурун эки тарапты салыштырыңыз. Серверде туннель интерфейстерин жана алардын даректерин тизмелеңиз; кардарда ал чындыгында кайсы даректи кармаанын тастыктаңыз; ички хостто жигердүү туташууну караңыз.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Акыркы буйрук бузук учурда ишке ашпай калган буйрук: ал же туннель префиксин жеткиликсиз деп билдирет, же, андан жаманы, демейки шлюзүңүздү кайтарат, жана жооптор интернетке ушундай чыгат.

Бир гана пул бар деп ойлобоңуз. Серверде динамикалык диапазон жана ар бир колдонуучу үчүн статикалык дал келүүлөр болушу мүмкүн, ал эми статикалык дарек динамикалык префикстен толук сыртта болушу мүмкүн. Эсиңизде калган диапазонду гана маршруттасаңыз, туруктуу дареги бар колдонуучулар бузук бойдон калат, калгандары маселе чечилди деп билдиришет.

Маршрутту жооп чечилүүчү жерге кошуңуз

Маршрут ички кызмат буга чейин колдонгон шлюзга таандык, кызматтын өзүнө эмес, эгер ал өз трафигин өзү маршруттабаса. Аны Access Serverдин жеткиликтүү жеке дарегине багыттаңыз, ал кардар кармаган туннель дарегинен башка маани.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Булут тармагында ошол эле билдирүү маршруттар таблицасынын жазуусуна айланат, анын максаты сервер иштеп жаткан инстанция же тармактык интерфейс, жана ошол интерфейсте булак менен даректи текшерүү өчүрүлгөн. Бул жазуу эмнени кылбай турганына көңүл буруңуз: маршрут кирүү укугу эмес, ошондуктан коопсуздук топтору, тармактык ACL жана хосттун firewall трафикке дагы эле уруксат бериши керек.

Аны туруктуу кылыңыз жана пулдардын өлчөмүн ак ниет сактаңыз. Кошуна эмес эки пулга эки маршрут керек, ал эми конфигурацияланган префикстен ашып өскөн пул жооптору барар жери жок кардарларды үнсүз жаратат. Эгер пул диапазондорун өзүңүз башкарсаңыз, бир жолу маршруттап, андан кийин тынч калтыра турган жыйынтыкты тандаңыз.

Өткөрүү жана фильтрлер маршрутка туура келиши керек

Маршруттоо жолдун жарымы гана. Серверге туннель менен жеке интерфейс ортосунда өткөрүүгө уруксат берилиши керек, бул Linuxта net.ipv4.ip_forward жана интерфейстер жупун уруксат кылган өткөрүү чынжырын билдирет, ал эми катууланган хостто адатта ар бир багыт үчүн өзүнчө так эреже.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Абалдык фильтрлөө адамдарды туура эмес жолго салган белгини түшүндүрөт. Орношкон агымдын ичиндеги жоопко жаңы кирүү эрежеси керек эмес, ошондуктан SYN-ACKтан кийин илинген туташууну жок accept эрежеси тоспойт; ал ыргытылат же туура эмес маршрутталат. Бул айырманы сактаңыз, анткени ал маршруттоо өзгөрүүсүн firewall өзгөрүүсүнөн ажыратат.

Асимметриялык кайра жолдор ошол эле маселенин тынчыраак түрү. Эгер пулга эки маршрут жетсе жана жооп сурам келген интерфейстен башка интерфейстен чыккан маршрутту тандаса, катуу кайра жол фильтри аны ыргытат жана агым кээ бир кардарларда гана ишке ашпай калат.

Маршрутталган же маскировкаланган: аң-сезимдүү тандаңыз

Маршрутталган режим кардардын пул дарегин кызматта сактайт, бул ар бир кардар боюнча журналдоо жана саясатты мүмкүн кылат, ал эми ордуна кардарга жооп бериши керек болгон ар бир ички тармакка пул маршруту керек. Маскировка режими бул талапты алып салат, анткени жооптор серверге кайтат, бирок кызмат эми бир кардарды экинчисинен ажырата албайт жана белгилүү кардарга карай эч нерсе баштай албайт.

Бул жүрүм-турумду иштеп жаткан серверде өзгөртүү бар сессияларды үзөт, ошондуктан адегенде бир кардар жана бир агым менен сынап көрүңүз. Эгер которулуу туура жооп болсо, бул сервердеги конфигурация чечими, кийин керексиз болуп кала турган маршруттарды кошуу менен айланып өтүүчү нерсе эмес.

Кардардын артындагы кошумча тармак өзүнчө милдет

Ноутбуктун өз LANындагы түзмөккө жетүү ноутбуктун туннель дарегине жетүү менен бирдей эмес. Ал кардардын кошумча тармак шлюзу катары иштешин талап кылат: кардар тарабында жарыяланган тармак, кардардын операциялык системасында күйгүзүлгөн өткөрүү, жана ошол LANда кардарга кайра маршрут. Ноутбуктун үй диапазону үчүн жеке тармак маршрутун кошуу муну кылбайт жана эки колдонуучунун үй диапазону бирдей болгондо кагылышуу жаратат.

Багыт да саясат маселеси. Кардарга ички кызматка туташуу ачууга уруксат берүү ички хостко ошол кардарга туташуу ачууга автоматтык түрдө уруксат бербейт. Жол бузулган деп жыйынтык чыгардан мурун сервердин кирүү саясатын жана кардардын хост firewallын текшериңиз.

Бир агым жана бир жазуу менен текшериңиз

Жолду жалпы жеткиликтүүлүк тестинин ордуна бир туташуу менен далилдеңиз. Эки тарапта бирдей агымды байкаңыз: кызматка келген сурам жана андан чыккан жооп.

tcpdump -ni any host 10.90.0.25 and port 443

Оңдоодон мурун жазуу жооптун аны маршруттабаган шлюзга карай кетип жатканын көрсөтөт. Оңдоодон кийин жооп серверге карай кетет жана агым аяктайт. Андан кийин шлюз экинчи кардар дареги үчүн колдоно турган маршрутту тастыктаңыз, ошондо жабылбаган пул бир жумадан кийин эмес, азыр көрүнөт.

Муну жапкан төрт текшерүү менен бүтүрүңүз: кызматтагы булак дареги ниет кылган режимге туура келет, шлюздүн ар бир колдонулган пулга маршруту бар, өткөрүү жана фильтрлер эки багытка тең уруксат берет, жана бир чыныгы агым башынан аягына чейин аяктайт. Access Server маршруттоосу боюнча көп берилүүчү суроолор орнотулган чыгарылыш үчүн ушундай эле принципти айтат, анын колдоого алынган конфигурация интерфейси эски колдонмолордон айырмаланышы мүмкүн.