Vai VPN klients jūsu tīmekļa serverī sabojā tā atbildes?

Vietne ielādējas no klēpjdatora tajā pašā tīklā, bet no visur citur tā beidzas ar taimautu, un resursdators arī palaiž VPN klientu savai izejošajai satiksmei. Šī kombinācija rada konkrētu kļūmi: ienākošais savienojums ierodas, atbilde iziet pa nepareizo ceļu, un klients ārpusē nekad neredz atbildi. Abas puses parādās vienā un tajā pašā pakešu ierakstā, tāpēc notikumu secība ir tā daļa, ko ir vērts lasīt.

Uz avotu balstīts maršrutēšanas noteikums bieži novērš simptomu. Tas parasti atbrīvo arī vairāk satiksmes nekā vietne, kas to izraisīja, un tieši šī ir tā daļa, ko ir vērts saprast pirms noteikuma saglabāšanas.

Simptoms: tas atbild lokāli, nevis no ārpuses

Tīkla iekšienē atbildei nav jāšķērso tunelis, tāpēc lapa ielādējas un pakalpojums izskatās vesels. No ārpuses pieprasījums sasniedz resursdatoru, un atbilde tiek maršrutēta VPN, kur tālajam galam nav pamata to pieņemt. Pārlūkprogramma redz taimautu, nevis atteikumu, un tā ir vienvirziena ceļa, nevis slēgtas ostas pazīme.

Apstipriniet formu pirms maršrutēšanas maiņas: klausītājs darbojas, vietējais pieprasījums izdodas, un ārējais pieprasījums vispār nesniedz atbildi. Šie trīs novērojumi kopā norāda uz atgriešanās ceļu, nevis uz tīmekļa servera konfigurāciju. Tik tīra asimetrija ir noderīgāka par jebkuru žurnāla rindu, jo tā izslēdz klausītāju pirms vienas kļūdas ziņojuma izlasīšanas.

Strādājot turiet atvērtu neatkarīgu administrēšanas ceļu. Noteikums, kas sabojā jūsu paša SSH sesiju, desmit minūšu labojumu pārvērš fiziskā apmeklējumā.

Ko avota selektors patiešām atbilst

Linux politikas maršrutēšanā noteikums, piemēram, from 192.168.50.2, atbilst paketēm, kuru avots ir šī adrese. Tas nekodē faktu, ka pakete turpina sarunu, kas ienāca pa mājas maršrutētāju, un nezina, kurš process to izveidoja. Šī piemēra adrese ir ilustratīva; aizstājiet to ar adresi, ko jūsu resursdators faktiski izmanto. Uztveriet rindu kā apgalvojumu par adresēm un neko vairāk.

Ja izvēlētā tabula nodrošina parastu noklusējuma maršrutu, katra pakete ar šo avotu var izmantot to pašu izņēmumu. Cits pakalpojums, kas piesaistīts tai pašai adresei, to manto, un lietojumprogramma, kas apzināti piesaistās šai adresei, to arī manto. Politikas noteikumu uzziņa uzskaita avotu, galamērķi, protokolu, ostu, atzīmi un prioritāti kā atsevišķus selektorus, kas atgādina, ka tikai avots ir vienkāršākais pieejamais.

Prioritāte nosaka iznākumu. Meklēšana notiek secībā, un pirmā tabula, kas dod rezultātu, var beigt meklēšanu, tāpēc pārāk agri ievietots noteikums var paslēpt konkrētāku maršrutu, ko būtu nodrošinājusi vēlāka tabula. Lasiet visu sakārtoto sarakstu, nevis vienu rindu, ko pievienojāt. Noteikums, kas nekad neatbilst, neko nemaksā, bet tas, kas atbilst pārāk agri, klusi maina visu aiz sevis.

Pārbaudiet atgriešanās ceļu un satiksmi, ko neesat paredzējis

Izlasiet noteikumus un tabulas, pēc tam pajautājiet kodolam, kādu maršrutu izvēlētos konkrēts avota un galamērķa pāris. Testēšana no paša resursdatora nav tas pats, kas testēšana no ārpuses, tāpēc dariet abus.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Pēc tam pieņemiet jaunu ārēju savienojumu un atsevišķi pieprasījumu, kam vēl jāiziet caur VPN. Ja otrais tagad iziet tieši, izņēmums ir plašāks par problēmu, ko risinājāt, un svarīgais tests ir tas, ko neplānojāt mainīt.

Publiskās adreses pārbaude pārlūkprogrammā ziņo tikai par pieprasījumiem, ko veica šī pārlūkprogramma. Tā neko nepasaka par tīmekļa servera atbildēm, par citas lokālas lietojumprogrammas avota izvēli vai par to, kas notiek ar pārvaldības satiksmi pēc nākamās VPN atkārtotās savienošanas.

Izlemiet, cik šaurs izņēmums var būt

Divi risinājumi ir aizstāvami, un tie jāizvēlas apzināti. Ja resursdators pastāv, lai publicētu šo pakalpojumu, un tā izejošā satiksme nav svarīga, īpaša lokāla adrese ar politiku tikai WAN ir saprātīgs risinājums, ja pieņemat visu apjomu. Ja kvalificēties drīkst tikai noteikti ienākoši savienojumi, adreses izvēle ir pārāk rupja, un tās priekšā jābūt savienojumus apzinošam risinājumam.

Pierakstiet līgumu, uz kuru paļaujaties: publisko kartējumu, resursdatora adresi, kurai pieprasījums tiek piegādāts, un ceļu, kuru atbildei jāiet. Ienākošs pakalpojums, kas publicēts ar VPN pakalpojumu sniedzēju, ir cits līgums nekā tas, kas publicēts ar mājas maršrutētāju, un izņēmums, kas nokopēts no viena piemēra, bieži ir nepareizs otram.

Saglabājiet politiku komponentā, kas pārvalda maršrutēšanu, nevis ielīmējiet komandu palaišanas failā. Noteikumu secībai, tīrīšanai pēc tīkla maiņas un atkārtošanai pēc pārstartēšanas visam jāiztur, un nepārbaudīts palaišanas fails parasti sabojājas tieši tajā brīdī, kad neskatāties. Pabeidziet ar pieņemšanas rezultātu, ko varat aizstāvēt: viena publicēta vietne atjaunota un viena nesaistīta plūsma nemainīta.