Tīmekļa serveris pazūd, kad pieslēdzas VPN klients

Pakalpojums, kas pazūd tajā brīdī, kad pieslēdzas VPN klients, parasti netiek bloķēts, tas atbild caur nepareizo saskarni. Pieprasījums ienāk uz fiziskās tīkla kartes, dēmons ieraksta atbildi, un maršrutēšanas tabula nodod šo atbildi tunelim, jo tunelis ir pārņēmis noklusējuma maršrutu. Attālais klients nekad neredz atbildi uz savienojumu, ko tas atvēra, tāpēc tas gaida un pēc tam ziņo par taimautu. Šajā secībā nekur nav iesaistīts neviens ugunsmūra noteikums.

Simptoms: pieprasījumi iekšā, atbildes ārā pa nepareizajām durvīm

Pazīme ir ienākošs savienojums, kas neizdodas, kamēr viss pārējais saimniekā darbojas. Vēl viena pazīme ir saimnieks, kas sasniedzams no LAN, bet ne no interneta, vai tāds, kas darbojas, līdz tunelis atkārtoti pieslēdzas, un tad apstājas. Katrā gadījumā virziens uz priekšu darbojās, bet atpakaļvirziens ne, kas norāda uz maršrutēšanas asimetriju, nevis politiku.

Apstipriniet to, vērojot, kur atbilde aiziet, nevis vērojot, kā pieprasījums ienāk.

Tveriet vienlaikus fiziskajā saskarnē un tuneļa ierīcē. Ja pieprasījums parādās fiziskajā saskarnē un atbilde tunelī, diagnoze ir pabeigta. Atbilde, kas nekur neparādās, nozīmē, ka pakalpojums nekad nav pieņēmis savienojumu, un tas ir atsevišķa izmeklēšana ar atsevišķu cēloni.

Divi noklusējuma maršruti un viens maršrutēšanas lēmums

Klients, kas instalē noklusējuma maršrutu, pievieno otru ierakstu ar labāku metriku nekā LAN vārteja. Daži klienti tā vietā instalē divus pusdiapazona maršrutus, kas pārklāj to pašu telpu precīzāk un tāpat uzvar meklēšanā. Abas metodes ļauj parastajiem izejošajiem paketiem izvēlēties tuneļa saskarni.

Šī izvēle tiek veikta tikai pēc galamērķa. Kodols nejautā, no kurienes pakete nākusi, ja vien politikas noteikums tam to nepavēl. Tāpēc atbilde uz publisku klienta adresi tiek nodota tunelim, kura tālais gals saņem paketi ar avota adresi, kas tam nepieder, un to izmet vai pārsūta kaut kur bezjēdzīgi. Linux gadījumā stingra apgrieztā ceļa filtrēšana var arī izmest sākotnējo pieprasījumu, pirms jūsu pakalpojums to vispār redz, un tas no ārpuses izskatās identiski. Abi simptomi nāk no tās pašas trūkstošās saiknes starp ienākošu plūsmu un tās atbildi.

Tunelis visu laiku uzvedas pareizi. Tam tika teikts nest noklusējuma maršrutu, un tas dara tieši to.

Salabojiet atgriešanās ceļu, nesalaužot tuneli

Pastāv trīs noturīgas labošanas formas, un izvēle ir atkarīga no tā, cik lielai daļai saimnieka paša trafika jāpaliek tuneļa iekšienē. Pakalpojuma galamērķa vai porta izslēgšana ir mazākā izmaiņa. Politikas maršrutēšana pēc avota vai atzīmes ir visprecīzākā. Avota tulkošana ir visrupjākā un pēc diviem gadiem visvieglāk izskaidrojamā.

Izvēlieties pēc tā, kas saimniekam jādara, nevis pēc tā, kuru fragmentu atradāt pirmo.

Galamērķa izslēgšana piemērota pakalpojumam ar stabilu publisku adresi, un dēmona piesaiste fiziskajai adresei, nevis visām adresēm, padara šo izslēgšanu drošāku. Politikas noteikums, kas izvēlas tabulu pēc avota, notur saimnieka paša savienojumus tunelī un vienlaikus sūta pakalpojuma atbildes atpakaļ caur WAN vārteju. Atbilžu maskēšana uz WAN saskarni sasniedz to pašu ceļu par cenu, ka klienta adrese tiek paslēpta no pakalpojuma žurnāliem. Noklusējuma maršruta ad hoc maiņa ir diagnostika, nevis konfigurācija, jo klients pārraksta maršrutus katrā atkārtotā pieslēgumā.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Kad saimnieks maršrutē arī LAN aiz sevis

Vienu lēcienu tālāk tā pati asimetrija atgriežas ar vairāk kustīgām daļām. Trafiks sasniedz maršrutētāju no interneta, tiek pārsūtīts uz iekšēju ierīci, un vienīgais šīs ierīces atgriešanās ceļš ir tunelis, tāpēc atbilde sasniedz sākotnējo klientu no paša pakalpojumu sniedzēja adreses. Pēc tam savienojumu izsekošana sastop atbildi uz plūsmu, kuras sākumu tā nav redzējusi, un to izmet. Klients tikmēr neredz absolūti neko.

Divi labojumi to salabo: galamērķa tulkošana, lai ienākošais savienojums sasniegtu iekšējo ierīci, un avota tulkošana, lai šīs ierīces atbilde izskatītos, ka nāk no paša maršrutētāja.

Maršrutētāja programmaparatūrā ierastais izteiciens ir politikas noteikums, kas porta pāradresāciju piesaista WAN pusei, kamēr paša maršrutētāja trafiks brauc pa tuneli. Bez avota tulkošanas šī atbilde ir adresēta ārējam klientam, un iekšējai ierīcei vienkārši nav maršruta uz to. Pārbaudiet trīs lietas atsevišķi, jo tās neizdodas dažādu iemeslu dēļ: savienojumu, kas nāk no ārpuses, to, ko saimnieks pats sāk, un nosaukuma meklēšanu.