Веб-серверот исчезнува кога се поврзува VPN клиентот

Услуга што исчезнува во моментот кога се поврзува VPN клиент обично не е блокирана, туку одговара низ погрешниот интерфејс. Барањето пристигнува на физичката мрежна карта, демонот пишува одговор, а табелата за рутирање го предава тој одговор на тунелот, бидејќи тунелот ја презел стандардната рута. Далечинскиот клиент никогаш не гледа одговор на врска што ја отворил, па затоа чека и потоа пријавува истекување на времето. Ниту едно правило на огнениот ѕид не учествува никаде во таа низа.

Симптомот: барања внатре, одговори излегуваат низ погрешната врата

Знакот е влезна врска што не успева додека сето друго на домаќинот работи. Друг знак е домаќин достапен од LAN, но не од интернет, или таков што работи додека тунелот повторно не се поврзе и потоа запира. Во секој случај насоката напред работеше, а насоката назад не, што укажува на асиметрија во рутирањето, а не на политика.

Потврдете го тоа со набљудување каде оди одговорот, а не со набљудување како пристигнува барањето.

Фатете истовремено на физичкиот интерфејс и на уредот на тунелот. Ако барањето се појави на физичкиот интерфејс, а одговорот на тунелот, дијагнозата е завршена. Одговор што не се појавува никаде значи дека услугата никогаш не ја прифатила врската, што е посебна истрага со посебна причина.

Две стандардни рути и една одлука за рутирање

Клиент што инсталира стандардна рута додава втор запис со подобра метрика од LAN портата. Некои клиенти наместо тоа инсталираат две рути со половина опсег, кои го покриваат истиот простор поспецифично и на ист начин ја добиваат пребарувањето. Двете техники ги оставаат обичните излезни пакети да го изберат интерфејсот на тунелот.

Тој избор се прави само според одредиштето. Јадрото не прашува од каде дошол пакетот, освен ако правило за политика не му нареди. Затоа одговорот на јавна клиентска адреса му се предава на тунелот, чиј далечен крај прима пакет со изворна адреса што не ја поседува и го отфрла или го проследува некаде бескорисно. На Linux, строгото филтрирање на обратната патека исто така може да го отфрли оригиналното барање пред вашата услуга воопшто да го види, што однадвор изгледа идентично. Двата симптома доаѓаат од истата врска што недостасува помеѓу влезниот тек и неговиот одговор.

Тунелот се однесува правилно цело време. Му беше кажано да ја носи стандардната рута и тој го прави токму тоа.

Поправете ја повратната патека без да го скршите тунелот

Постојат три трајни форми на поправка, а изборот зависи од тоа колку од сопствениот сообраќај на домаќинот треба да остане внатре во тунелот. Исклучувањето на одредиштето или портата на услугата е најмалата промена. Рутирањето по политика според изворот или ознаката е најпрецизно. Преводот на изворот е најгруб и најлесен за објаснување по две години.

Изберете според тоа што мора да го направи домаќинот, а не според тоа кој исечок прв го најдовте.

Исклучувањето на одредиште одговара на услуга со стабилна јавна адреса, а врзувањето на демонот за физичката адреса наместо за секоја адреса го прави тоа исклучување побезбедно. Правило за политика што избира табела според изворот ги држи сопствените врски на домаќинот внатре во тунелот и истовремено ги враќа одговорите на услугата низ WAN портата. Маскирањето на одговорите кон WAN интерфејсот стигнува до истата патека по цена да се сокрие адресата на клиентот од евиденцијата на услугата. Ad hoc промената на стандардната рута е дијагностика, а не конфигурација, бидејќи клиентот ги препишува рутите при секое повторно поврзување.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Кога домаќинот рутира и за LAN зад себе

Еден скок понатаму, истата асиметрија се враќа со повеќе подвижни делови. Сообраќајот стигнува до рутерот од интернет, се проследува до внатрешен уред, а единствената повратна патека на тој уред е тунелот, па одговорот стигнува до оригиналниот клиент од сопствената адреса на добавувачот. Потоа следењето на врските сретнува одговор за тек чиј почеток не го видело, и го отфрла. Клиентот, во меѓувреме, не гледа ништо.

Две промени го поправаат тоа: превод на одредиштето за влезната врска да стигне до внатрешниот уред, и превод на изворот за одговорот на тој уред да изгледа како да доаѓа од самиот рутер.

Во фирмверот на рутерот вообичаениот израз е правило за политика што го закачува проследувањето на портата на WAN страната додека сопствениот сообраќај на рутерот оди низ тунелот. Без превод на изворот, тој одговор е адресиран до надворешниот клиент и внатрешниот уред едноставно нема рута до него. Тестирајте три работи одделно, бидејќи не успеваат од различни причини: врска што доаѓа однадвор, онаа што домаќинот сам ја започнува, и пребарување на име.