Дали VPN клиент на вашиот веб сервер ги расипува неговите одговори?

Страницата се вчитува од преносен компјутер на истата мрежа и истекува од секое друго место, а домаќинот исто така извршува VPN клиент за сопствениот излезен сообраќај. Таа комбинација создава специфичен дефект: доаѓа влезната врска, одговорот излегува по погрешен пат, а клиентот надвор никогаш не гледа одговор. Двете половини се појавуваат во истото снимање на пакети, па редоследот на настаните е делот што вреди да се прочита.

Правилото за рутирање засновано на извор често го отстранува симптомот. То исто така обично ослободува повеќе сообраќај од страницата што го предизвикала, и токму тоа е делот што вреди да се разбере пред да се зачува правилото.

Симптомот: одговара локално, а не однадвор

Внатре во мрежата одговорот не мора да го премине тунелот, па страницата се вчитува и услугата изгледа здрава. Однадвор барањето стигнува до домаќинот и одговорот се рутира во VPN, каде што далечниот крај нема причина да го прифати. Прелистувачот гледа истек на време наместо одбивање, што е знак за еднонасочен пат, а не за затворен порт.

Потврдете ја формата пред да го смените рутирањето: слушателот работи, локалното барање успева, а надворешното барање воопшто не дава одговор. Овие три набљудувања заедно упатуваат на повратниот пат, а не на конфигурацијата на веб серверот. Толку чиста асиметрија е покорисна од која било линија во дневникот, зашто го исклучува слушателот пред да прочитате и една порака за грешка.

Држете отворен независен административен пат додека работите. Правило што ја расипува вашата сопствена SSH сесија десетминутна поправка ја претвора во физичка посета.

Што всушност совпаѓа селекторот на извор

Во политичкото рутирање на Linux, правило како from 192.168.50.2 совпаѓа пакети чиј извор е таа адреса. Тоа не го кодира фактот дека пакетот продолжува разговор што влегол низ домашниот рутер, и не знае кој процес го создал. Адресата во тој пример е илустративна; заменете ја со адресата што вашиот домаќин навистина ја користи. Третирајте ја линијата како изјава за адреси и ништо повеќе.

Ако избраната табела обезбедува обичен стандарден пат, секој пакет со тој извор може да го земе истиот исклучок. Друга услуга врзана за истата адреса го наследува, а апликацијата што намерно се врзува за таа адреса исто така го наследува. Референцата за правилата на политиката ги наведува изворот, одредиштето, протоколот, портата, ознаката и приоритетот како одделни селектори, што потсетува дека само изворот е најгрубиот достапен.

Приоритетот го одлучува исходот. Пребарувањата одат по ред и првата табела што дава резултат може да го заврши пребарувањето, па правило поставено прерано може да скрие поконкретен пат што би го обезбедила подоцнежна табела. Прочитајте го целиот подреден список, а не само линијата што сте ја додале. Правилото што никогаш не совпаѓа не чини ништо, додека она што совпаѓа прерано тивко менува сето она што е зад себе.

Проверете го повратниот пат и сообраќајот што не сте го намениле

Прочитајте ги правилата и табелите, потоа прашајте го јадрото кој пат би го избрал конкретен пар извор и одредиште. Тестирањето од самиот домаќин не е исто како тестирањето однадвор, затоа направете го и едното и другото.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Потоа прифатете нова надворешна врска и одделно барање што и понатаму мора да излезе низ VPN. Ако второто сега излегува директно, исклучокот е поширок од проблемот што го решававте, а важниот тест е оној што не сте имале намера да го смените.

Проверката на јавна адреса во прелистувач известува само за барањата што ги направил тој прелистувач. Таа не кажува ништо за одговорите на веб серверот, за изборот на извор од друга локална апликација или за тоа што се случува со административниот сообраќај по следното повторно поврзување на VPN.

Одлучете колку тесен може да биде исклучокот

Два дизајни се одбраниви и треба свесно да се изберат. Ако домаќинот постои за да ја објавува оваа услуга и неговиот излезен сообраќај не е важен, посветена локална адреса со политика само за WAN е разумно решение, под услов да го прифатите целиот опсег. Ако треба да се квалификуваат само определени влезни врски, изборот на адреса е прегруб и пред него треба да стои дизајн што води сметка за врските.

Запишете го договорот на кој се потпирате: јавното мапирање, адресата на домаќинот на која се доставува барањето и патот што треба да го помине одговорот. Влезна услуга објавена преку VPN провајдер е различен договор од онаа објавена преку домашен рутер, а исклучок копиран од еден пример често е погрешен за другиот.

Чувајте ја политиката во компонентата што го поседува рутирањето, наместо да лепите команда во почетна датотека. Редоследот на правилата, чистењето по промена на мрежата и повторувањето по рестартирање мора да преживеат, а неиспробана почетна датотека обично пропаѓа во моментот кога не гледате. Завршете со резултат од прифаќање што можете да го одбраните: една објавена страница вратена и еден неповрзан тек непроменет.