De Webserver verschwënnt, wann de VPN-Client sech verbënnt

En Déngscht, deen am Moment verschwënnt, wou e VPN-Client sech verbënnt, gëtt meeschtens net blockéiert, hie äntwert duerch déi falsch Interface. D'Ufro kënnt op der physescher Netzwierkkart un, den Daemon schreift eng Äntwert, an d'Routingstabell gëtt déi Äntwert un den Tunnel, well den Tunnel d'Standardstreck iwwerholl huet. Den entfernte Client gesäit ni eng Äntwert op eng Verbindung, déi hien opgemaach huet, dofir waart hien an mellt duerno eng Zäitiwwerschreidung. Keng Firewall-Reeg ass iergendwou an där Sequenz bedeelegt.

D'Symptom: Ufroen eranzu, Äntwerten duerch déi falsch Dier eraus

D'Indiz ass eng erakomm Verbindung, déi feelt, während alles anescht um Host funktionéiert. En anert Indiz ass en Host, deen aus dem LAN erreechbar ass, awer net aus dem Internet, oder een, dee funktionéiert bis den Tunnel sech erëm verbënnt an dann ophält. An all Fall huet d'Fortrichtung richteg funktionéiert an d'Zeréckrichtung net, wat op Routing-Asymmetrie an net op Politik hiweist.

Bestätegt et, andeem Dir kuckt, wou d'Äntwert geet, an net andeem Dir kuckt, wéi d'Ufro ukënnt.

Fänkt gläichzäiteg op der physescher Interface an um Tunnelapparat un. Wann d'Ufro op der physescher Interface erschéngt an d'Äntwert um Tunnel, ass d'Diagnos fäerdeg. Eng Äntwert, déi néierens erschéngt, heescht, datt den Déngscht d'Verbindung ni ugeholl huet, wat eng separat Enquête mat enger separater Ursaach ass.

Zwou Standardstrecken an eng Routing-Entscheedung

En Client, deen eng Standardstreck installéiert, füügt en zweeten Entrée mat enger besserer Metrik wéi de LAN-Gateway bäi. Verschidde Cliente installéieren amplaz zwou Hallefberäich-Strecken, déi dee selwechte Raum méi spezifesch ofdecken an d'Sich op déi selwecht Aart gewannen. Béid Technike loossen normal erausgoend Päckelen d'Tunnelinterface wielen.

Déi Wiel gëtt just duerch d'Zil gemaach. De Kernel freet net, wou e Pak hierkënnt, ausser eng Policy-Reeg seet et him. Also gëtt d'Äntwert op eng ëffentlech Clientadress un den Tunnel iwwerginn, deem säin wäiten Enn e Pak mat enger Quelladress kritt, déi et net besëtzt, an et verwërft oder et iergendwou nëtzlos weidergëtt. Op Linux kann streng Réckwee-Filterung och déi ursprénglech Ufro verwerfen, ier Ären Déngscht se iwwerhaapt gesäit, wat vun dobaussen identesch ausgesäit. Béid Symptomer kommen aus der selwechter feelender Associatioun tëscht engem erakommende Flux a senger Äntwert.

Den Tunnel behält sech duerchgehend richteg. Et gouf him gesot, d'Standardstreck ze droen, an dat mécht hie genee.

Reparéiert de Réckwee, ouni den Tunnel ze briechen

Et gëtt dräi dauerhaft Forme vu Reparatur, an d'Wiel hänkt dovun of, wéi vill vum eegene Verkéier vum Host am Tunnel bleiwe soll. D'Zil oder de Port vum Déngscht auszeschléissen ass déi klengst Ännerung. Policy-Routing no Quell oder Mark ass déi präzisst. QuellIwwersetzung ass déi gröbst an déi einfachst ze erklären zwee Joer méi spéit.

Wielt no deem, wat den Host muss maachen, an net no deem, wat fir en Extrait Dir als éischt fonnt hutt.

D'Zil auszeschléissen passt zu engem Déngscht mat enger stabiler ëffentlecher Adress, an den Daemon un d'physesch Adress ze bannen amplaz un all Adress mécht déi Ausnam méi sécher. Eng Policy-Reeg, déi eng Tabell no Quell auswielt, hält dem Host seng eege Verbindungen am Tunnel, wärend se d'Äntwerten vum Déngscht iwwer de WAN-Gateway zréckschéckt. D'Äntwerten op der WAN-Interface maskéieren erreecht dee selwechte Wee op Käschte vun der Clientadress, déi aus den Déngschtprotokoller verstoppt gëtt. Eng Ad-hoc-Ännerung vun der Standardstreck ass eng Diagnos an net eng Konfiguratioun, well de Client bei all Reconnect d'Strecken nei schreift.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Wann den Host och fir e LAN hannendrun routet

En Hop méi wäit eraus kënnt déiselwecht Asymmetrie mat méi beweeglechen Deeler zréck. Verkéier erreecht de Router aus dem Internet, gëtt un en internen Apparat weiderginn, an deen eenzege Wee zréck vun deem Apparat ass den Tunnel, sou datt d'Äntwert den urspréngleche Client vun der Adress vum Fournisseur selwer erreecht. Duerno begéint d'Verbindungsverfolgung enger Äntwert fir e Flux, deem säin Ufank se net gesinn huet, an verwërft se. De Client gesäit währenddeem guer näischt.

Zwou Ännerungen reparéieren et: Ziliwwersetzung, sou datt déi erakomm Verbindung den internen Apparat erreecht, a QuellIwwersetzung, sou datt d'Äntwert vun deem Apparat schéngt vum Router selwer ze kommen.

An der Router-Firmware ass den üblechen Ausdrock eng Policy-Reeg, déi d'Portweiderleedung op d'WAN-Säit festhält, während den eegene Verkéier vum Router iwwer den Tunnel fiert. Ouni QuellIwwersetzung ass déi Äntwert un den externe Client adresséiert an den internen Apparat huet einfach keng Streck dohinner. Testt dräi Saachen eenzel, well se aus verschiddene Grënn feelen: eng Verbindung, déi vun dobaussen kënnt, eng, déi den Host selwer ufänkt, an eng Nomsich.