Briecht en VPN-Client op Ärem Webserver seng Äntwerten?

D'Säit lued vun engem Laptop am selwechten Netzwierk a leeft vun iwwerall soss an eng Zäitlimit, an den Host bedreift och en VPN-Client fir säin eegenen ausgänge Verkéier. Dës Kombinatioun produzéiert e spezifesche Fehler: d'akommend Verbindung kënnt un, d'Äntwert geet iwwer de falsche Wee eraus, an de Client dobaussen gesäit ni eng Äntwert. Béid Hälften erschéngen am selwechte Paketopfang, also ass d'Uerdnung vun den Evenementer deen Deel, deen et wäert ass ze liesen.

Eng quellbaséiert Routing-Reeg behieft dacks de Symptom. Si neemt och meeschtens méi Verkéier aus wéi d'Säit, déi se motivéiert huet, an dat ass deen Deel, deen et wäert ass ze verstoen, ier Dir d'Reeg späichert.

De Symptom: et äntwert lokal an net vun dobaussen

Bannen am Netzwierk muss d'Äntwert den Tunnel net iwwerqueren, also lued d'Säit an de Service gesäit gesond aus. Vun dobaussen erreecht d'Ufro den Host an d'Äntwert gëtt an de VPN geroutet, wou de wäiten Enn kee Grond huet, se unzehuelen. De Browser gesäit eng Zäitlimit amplaz enger Oflehnung, wat d'Signatur vun engem eenzegaartege Wee an net vun engem zouenen Hafen ass.

Bestätegt d'Form, ier Dir d'Routing ännert: de Lauschterer ass op, déi lokal Ufro geléngt, an déi extern Ufro produzéiert guer keng Äntwert. Déi dräi Observatiounen zesummen deiten op de Retourwee an net op d'Konfiguratioun vum Webserver. Esou eng propper Asymmetrie ass méi nëtzlech wéi all Loglinn, well se de Lauschterer ausschléisst, ier Dir eng eenzeg Fehlermeldung liest.

Halt en onofhängege Verwaltungswee op, wärend Dir schafft. Eng Reeg, déi Är eege SSH-Sessioun briecht, verwandelt eng Zéng-Minutte-Korrektur an e physesche Besuch.

Wat en Quelleselekter tatsächlech entsprécht

Am Linux-Policy-Routing entsprécht eng Reeg wéi from 192.168.50.2 Paketen, deenen hir Quell dës Adress ass. Si kodéiert net d'Tatsaach, datt de Paket eng Gespréich weiderféiert, dat duerch den Heemrouter erakomm ass, an si weess net, wéi e Prozess en erstallt huet. D'Adress an deem Beispill ass illustrativ; ersetzt se duerch d'Adress, déi Ären Host tatsächlech benotzt. Behandelt d'Linn als eng Ausso iwwer Adressen an näischt méi.

Wann den ausgewielten Table eng gewéinlech Standardroute liwwert, kann all Paket mat där Quell déiselwecht Ausnam huelen. En aneren Service, deen un déiselwecht Adress gebonnen ass, ierft se, an eng Applikatioun, déi sech bewosst un déi Adress bindet, ierft se och. D'Referenz fir Policy-Reegelen zielt Quell, Zil, Protokoll, Port, Mark an Prioritéit als getrennte Selekteren op, wat drun erënnert, datt d'Quell eleng déi grëbst verfügbar ass.

D'Prioritéit entscheet d'Resultat. D'Recherchen lafen an der Rei an den éischten Table, deen e Resultat liwwert, kann d'Sich beenden, also kann eng Reeg, déi ze fréi plazéiert ass, eng méi spezifesch Route verstoppen, déi en späteren Table geliwwert hätt. Liest déi ganz geuerdent Lëscht amplaz vun der eenzeger Linn, déi Dir bäigefüügt hutt. Eng Reeg, déi ni entsprécht, kascht näischt, wärend eng, déi ze fréi entsprécht, alles hannert sech roueg ännert.

Préift de Retourwee an de Verkéier, deen Dir net virgesinn hutt

Liest d'Reegelen an d'Tabellen, a frot dann de Kernel, wéi eng Route e bestëmmte Quell-Zil-Puer huele géif. Vum Host selwer ze testen ass net datselwecht wéi vun dobaussen ze testen, also maacht béides.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Akzeptéiert dann eng nei extern Verbindung an, getrennt, eng Ufro, déi nach ëmmer duerch de VPN eraus muss. Wann déi zweet elo direkt erausgeet, ass d'Ausnam méi breet wéi de Problem, deen Dir geléist hutt, an den Test, op deen et ukënnt, ass deen, deen Dir net geduecht hutt z'änneren.

Eng ëffentlech Adresskontroll am Browser mellt nëmmen d'Ufroen, déi dee Browser gemaach huet. Si seet näischt iwwer d'Äntwerten vum Webserver, iwwer d'Quellewahl vun enger anerer lokaler Applikatioun oder iwwer wat mam Verwaltungsverkéier no der nächster VPN-Reconnectioun geschitt.

Entscheet, wéi schmuel d'Ausnam ka sinn

Zwee Designe si verteidegbar an se solle bewosst gewielt ginn. Wann den Host existéiert, fir dëse Service ze verëffentlechen, an säin ausgänge Verkéier net wichteg ass, ass eng dedizéiert lokal Adress mat enger Politik nëmme fir WAN eng raisonnabel Arrangement, wann Dir de ganze Scope akzeptéiert. Wann nëmme bestëmmte akommend Verbindunge solle qualifizéieren, ass d'Adressenwahl ze gro an eng verbindungsbewosst Design gehéiert dovirun.

Notéiert de Kontrakt, op deen Dir Iech stëtzt: d'ëffentlech Mapping, d'Hostadress, un déi d'Ufro geliwwert gëtt, an de Wee, deen d'Äntwert sollte huelen. En akommende Service, deen iwwer e VPN-Provider veröffentlicht gëtt, ass en anere Kontrakt wéi een, deen iwwer en Heemrouter veröffentlicht gëtt, an eng Ausnam, déi aus engem Beispill kopéiert gouf, ass dacks falsch fir deen aneren.

Behält d'Politik an der Komponent, déi d'Routing besëtzt, amplaz e Kommando an eng Startdatei ze pechen. D'Reegeluerdnung, d'Botzen no enger Netzwierkännerung an d'Widderhuele no engem Neistart mussen all iwwerliewen, an eng ongetest Startdatei versot gewéinlech an deem Abléck, wou Dir net kuckt. Schléisst mat dem Akzeptanzresultat of, deen Dir verteidege kënnt: eng veröffentlicht Säit restauréiert an ee onverbonne Floss onverännert.