നിങ്ങളുടെ VPN ടണൽ വിലാസം ഇൻബൗണ്ട് പോർട്ട് തുറക്കാത്തത് എന്തുകൊണ്ട്
ടണൽ വിലാസം നിങ്ങളുടെ ക്ലൈന്റിനെ അങ്ങോട്ട് റൂട്ട് ചെയ്യാൻ കഴിയുന്ന സമപ്രായക്കാർക്ക് തിരിച്ചറിയിക്കുന്നു, ഒരിക്കലും ഒരു ശ്രോതാവിനെ സൃഷ്ടിക്കുന്നുമില്ല. ബൈൻഡ്, മടങ്ങിവരവ് റൂട്ട്, പിന്നീട് നയം പരിശോധിക്കുക.
ഓഫീസ് VPN-ലേക്ക് കണക്റ്റ് ചെയ്യുക, പോർട്ട് 8443-ൽ ഒരു ചെറിയ സേവനം ആരംഭിക്കുക, ടണൽ വിലാസം സഹപ്രവർത്തകന് അയയ്ക്കുക, ക്ലൈന്റ് ഇപ്പോഴും കണക്റ്റ് ചെയ്തിരിക്കുന്നു എന്ന് റിപ്പോർട്ട് ചെയ്യുമ്പോൾ കണക്ഷൻ പരാജയപ്പെടുന്നത് കാണുക. ടണലിൽ ഒന്നും തകർന്നിട്ടില്ല: വിലാസം നൽകിയിട്ടുണ്ട്, സെഷൻ സജീവമാണ്, ഉത്തരം വഹിക്കേണ്ട പാക്കറ്റുകൾ ഒരിക്കലും അനുവദിക്കപ്പെടുന്നുമില്ല. താഴെയുള്ള മൂന്ന് പരിശോധനകൾ ക്രമത്തിൽ ചെയ്ത് പരാജയപ്പെടുന്നതിൽ നിർത്തുക, കാരണം ഓരോന്നിനും വ്യത്യസ്ത പരിഹാരമാണുള്ളത്, അവയിൽ ഒന്ന് മാത്രമാണ് VPN-മായി ബന്ധപ്പെട്ടത്.
സോക്കറ്റ് യഥാർത്ഥത്തിൽ എവിടെ ബൈൻഡ് ചെയ്തിരിക്കുന്നു എന്നതിൽ നിന്ന് തുടങ്ങുക
എന്തെങ്കിലും റൂട്ട് ചെയ്യുന്നതിന് മുമ്പ്, വിളിക്കുന്നയാൾക്ക് എത്തിച്ചേരാൻ കഴിയുന്ന ഒരു വിലാസത്തിൽ എന്തെങ്കിലും കേൾക്കണം. വികസന സർവറുകളാണ് സാധാരണ കുറ്റവാളി, കാരണം അവയിൽ പലതും സ്വതവേ loopback-ലേക്ക് ബൈൻഡ് ചെയ്യുകയും ഒരേ യന്ത്രത്തിൽ നിന്ന് ഉത്ഭവിക്കുന്ന കണക്ഷനുകൾ മാത്രം സ്വീകരിക്കുകയും ചെയ്യുന്നു. ടണൽ വിലാസം ആ ബൈൻഡിംഗ് മാറ്റുന്നില്ല, VPN ഉൾപ്പെടുന്നതിന് വളരെ മുമ്പുതന്നെ ഓപ്പറേറ്റിംഗ് സിസ്റ്റം കണക്ഷൻ നിരസിക്കും.
ss -ltnp | grep 8443
netstat -ano | findstr 8443അവസ്ഥയല്ല, ലോക്കൽ വിലാസ കോളം വായിക്കുക. 127.0.0.1:8443 എന്നാൽ loopback മാത്രം, പരിഹാരം 0.0.0.0 അല്ലെങ്കിൽ ടണൽ വിലാസത്തിലേക്കുതന്നെ ബൈൻഡ് ചെയ്യുക എന്നതാണ്. 0.0.0.0:8443 എല്ലാ ഇന്റർഫേസുകളിലും സ്വീകരിക്കുന്നു, യന്ത്രത്തിന് പൊതു വിലാസവുമുള്ളപ്പോൾ മിക്ക ആളുകളും ഉദ്ദേശിക്കുന്നതിനേക്കാൾ വിശാലമാണത്; 10.64.7.15:8443 സഹപ്രവർത്തകന് എത്താൻ കഴിയുന്നിടത്ത് മാത്രം കേൾക്കുന്ന ഇടുങ്ങിയ പതിപ്പാണ്. അതേ ഔട്ട്പുട്ടിലെ പ്രോസസിന്റെ പേരും ശ്രദ്ധിക്കുക, കാരണം മുൻ പരീക്ഷയിൽ നിന്ന് അവശേഷിച്ച ഒരു അനാവശ്യ ഇൻസ്റ്റൻസാണ് പോർട്ട് തുറന്നതായി തോന്നാനും തെറ്റായ ഉള്ളടക്കത്തോടെ ഉത്തരം നൽകാനും സാധാരണ കാരണം.
പിന്നീട് ആ വിലാസത്തിലേക്ക് എന്തെങ്കിലും റൂട്ട് ചെയ്യാൻ കഴിയുമോ എന്ന് ചോദിക്കുക
ആ പ്രിഫിക്സ് ടണലിലേക്ക് അയയ്ക്കാൻ കോൺഫിഗർ ചെയ്ത സമപ്രായക്കാർക്ക് മാത്രമാണ് ടണൽ വിലാസത്തിന് അർത്ഥമുള്ളത്. സഹപ്രവർത്തകന്റെ യന്ത്രത്തിന് സ്വന്തം പട്ടികയുണ്ട്, ടണൽ സബ്നെറ്റിലേക്ക് റൂട്ട് ഇല്ലെങ്കിൽ പാക്കറ്റ് ഡിഫോൾട്ട് ഗേറ്റ്വേയിലേക്ക് പോയി വിലാസം നിലവിലുണ്ടെന്ന് അറിയാത്ത ഒരിടത്ത് മരിക്കുന്നു. ഇത് വിളിക്കുന്നയാളുടെ ഭാഗത്തെ റൂട്ടിംഗ് ചോദ്യമാണ്, നിങ്ങളുടെ ഭാഗത്തെ അനുമതിയല്ല.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
രണ്ട് ക്ലൈന്റുകൾക്കിടയിലുള്ള സർവറും അത്രതന്നെ പ്രധാനമാണ്. സാധാരണ റിമോട്ട് ആക്സസ് ഡിസൈനിൽ ഓരോ ക്ലൈന്റും ഗേറ്റ്വേയിലേക്ക് ഒരു ഔട്ട്ബൗണ്ട് കണക്ഷൻ തുറക്കുന്നു, ഗേറ്റ്വേ ആ ഫ്ലോകളുടെ അവസ്ഥ സൂക്ഷിക്കുന്നു, അതിനാൽ ഉത്തരങ്ങൾ അതിന് ഇതിനകം അറിയാവുന്ന ഒരു വഴിയിലൂടെ മടങ്ങുന്നു. ഒരു ക്ലൈന്റിൽ നിന്ന് മറ്റൊന്നിലേക്കുള്ള കണക്ഷൻ ഗേറ്റ്വേ സ്വീകരിച്ച് കൈമാറേണ്ട പുതിയ ഫ്ലോയാണ്, ക്ലൈന്റുകളെ പരസ്പരം വേർതിരിച്ചു നിർത്താൻ പല വിന്യാസങ്ങളും ഇത് ബോധപൂർവ്വം അപ്രാപ്തമാക്കുന്നു. ഉപഭോക്തൃ VPN സേവനങ്ങൾ സാധാരണയായി സ്വതവേ വേർതിരിക്കുന്നു; കോർപ്പറേറ്റ് ഗേറ്റ്വേകൾ ചിലപ്പോൾ ഗ്രൂപ്പ് അനുസരിച്ച് അനുവദിക്കുന്നു.
ഹോസ്റ്റിൽ എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് ദിശ പരിശോധിക്കുക. ടണൽ വിലാസം ഗേറ്റ്വേയിൽ നിന്നുതന്നെ ഉത്തരം നൽകുകയും ഒരു സമപ്രായക്കാരനിൽ നിന്ന് നൽകാതിരിക്കുകയും ചെയ്താൽ, വ്യത്യാസം ഗേറ്റ്വേയുടെ ക്ലൈന്റ്-ടു-ക്ലൈന്റ് ക്രമീകരണമാണ്, പ്രാദേശിക ഫയർവാൾ എഡിറ്റ് ചെയ്ത് അത് പകരം വയ്ക്കാൻ കഴിയില്ല.
അവസാനം, ഫ്ലോ അനുവദിക്കുന്ന നയം കണ്ടെത്തുക
റൂട്ട് ചെയ്ത പാക്കറ്റിനും ഉത്തരം നൽകുന്ന സേവനത്തിനും ഇടയിൽ മൂന്ന് നയ പാളികളുണ്ട്: VPN സർവറിന്റെ ഫോർവേഡിംഗ് തീരുമാനം, ഹോസ്റ്റ് ഫയർവാൾ, ഇൻസ്റ്റൻസിന് മുന്നിലുള്ള ഏതെങ്കിലും ക്ലൗഡ് സെക്യൂരിറ്റി ഗ്രൂപ്പ്. മൂന്നും യോജിക്കണം, അവ വ്യത്യസ്ത രീതികളിൽ പരാജയപ്പെടുന്നു, അതിനാലാണ് മുകളിലെ പട്ടികയിലെ ലക്ഷണം ബ്രൗസറിലെ പിശക് സന്ദേശത്തേക്കാൾ ഉപയോഗപ്രദമാകുന്നത്.
വിജയകരമായ ബൈൻഡിന് ശേഷം ആളുകൾ മറക്കുന്ന പാളിയാണ് ഹോസ്റ്റ് ഫയർവാൾ, കാരണം LAN ഇന്റർഫേസിൽ പോർട്ട് അനുവദിക്കുന്ന നിയമം ടണൽ ഇന്റർഫേസിൽ അത് സ്വയമേവ അനുവദിക്കുന്നില്ല. ഇന്റർഫേസ് പരിമിതമായ നിയമങ്ങൾ ശരിയായ ഡിസൈനാണ്, ഒപ്പം ഓഫീസിൽ നിന്ന് പ്രവർത്തിക്കുകയും വീട്ടിൽ നിന്ന് പ്രവർത്തിക്കാതിരിക്കുകയും ചെയ്യുന്ന സേവനത്തിന്റെ സാധാരണ കാരണവുമാണ്. നിയമത്തിന്റെ പോർട്ട് നമ്പറല്ല, അതിന്റെ പരിധി വായിക്കുക.
സ്റ്റേറ്റ്ഫുൾ ഫിൽട്ടറിംഗ് വിപരീത സന്ദർഭം വിശദീകരിക്കുന്നു. നിങ്ങളുടെ ലാപ്ടോപ്പിൽ നിന്നുള്ള ഔട്ട്ബൗണ്ട് കണക്ഷൻ അവസ്ഥ സൃഷ്ടിക്കുന്നു, അതിനുള്ള ഉത്തരങ്ങൾ ഇൻബൗണ്ട് നിയമമില്ലാതെ അനുവദിക്കപ്പെടുന്നു. സഹപ്രവർത്തകന്റെ കണക്ഷൻ പിന്നിൽ അവസ്ഥയില്ലാത്ത തികച്ചും പുതിയ ഫ്ലോയാണ്, അതിനാൽ വ്യക്തമായ അനുമതി ആവശ്യമാണ്. നിങ്ങളുടെ സ്വന്തം യന്ത്രത്തിൽ പ്രവർത്തിക്കുന്ന ബ്രൗസർ സെഷൻ സേവനം പുറത്തുനിന്ന് എത്താനാകുമോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയാത്തതിന്റെ മുഴുവൻ കാരണം ഈ അസമത്വമാണ്.
ഒരു പരിശോധന പരാജയപ്പെട്ടാൽ ടണലല്ല, ഡിസൈൻ മാറ്റുക
സഹപ്രവർത്തകൻ നിങ്ങളുടെ പ്രാദേശിക സേവനം തുറക്കണം എന്നതാണ് ആവശ്യമെങ്കിൽ, സത്യസന്ധമായ ഉത്തരം സാധാരണയായി ഇൻബൗണ്ട് ആക്സസിനായി നിർമ്മിച്ച ഒരു സംവിധാനമാണ്. റിവേഴ്സ് SSH ടണൽ ഏറ്റവും ചെറുതാണ്: നിങ്ങളുടെ യന്ത്രം സഹപ്രവർത്തകന് ഇതിനകം എത്താൻ കഴിയുന്ന ഒരു ഹോസ്റ്റിലേക്ക് പുറത്തേക്ക് കണക്റ്റ് ചെയ്യുന്നു, ശ്രോതാവ് ആ ഹോസ്റ്റിൽ നിലവിലുണ്ട്.
ssh -N -R 8443:127.0.0.1:8443 [email protected]റിലേയ്ക്ക് അതിന്റെ SSH സർവർ കോൺഫിഗറേഷനിൽ GatewayPorts clientspecified ആവശ്യമാണ്, അല്ലെങ്കിൽ കൈമാറിയ ശ്രോതാവ് റിലേയിൽ loopback-ലേക്ക് ബൈൻഡ് ചെയ്യപ്പെടും, സഹപ്രവർത്തകന് മുമ്പത്തെപ്പോലെ അതേ നിരസിക്കലാണ് നേരിടേണ്ടി വരിക. ഒരു ഉച്ചയ്ക്ക് ശേഷം കൂടുതൽ നിലനിൽക്കുന്ന എന്തിനും ഹെൽത്ത് ചെക്കും പ്രസിദ്ധീകരിച്ച പേരിനുള്ള സർട്ടിഫിക്കറ്റുമുള്ള ലോഡ് ബാലൻസറോ ingress-ഓ മികച്ച ഉപകരണമാണ്, രണ്ട് നെറ്റ്വർക്കുകൾ യഥാർത്ഥത്തിൽ സംസാരിക്കേണ്ടിവരുമ്പോൾ രണ്ട് സബ്നെറ്റുകൾക്കും റൂട്ടുകളുള്ള സൈറ്റ്-ടു-സൈറ്റ് ടണലാണ് ശരിയായ ഉത്തരം.
ഈ ഡിസൈനുകളിൽ ഓരോന്നും എക്സ്പോഷർ വ്യക്തമാക്കുന്നു, അതാണ് കാര്യം. VPN ഇതിനകം ഉപയോഗിക്കാൻ അധികാരമുള്ള നെറ്റ്വർക്കുകൾക്കിടയിൽ പാക്കറ്റുകൾ നീക്കുന്നു; അത് ഒരു സേവനം പ്രസിദ്ധീകരിക്കുന്നുമില്ല, ലാപ്ടോപ്പിനെ ഇന്റർനെറ്റിന് അഭിമുഖമായ ഹോസ്റ്റാക്കി മാറ്റുന്നുമില്ല. മൂന്ന് പാളികളിൽ ഏതാണ് മാറ്റേണ്ടതെന്ന് തീരുമാനിക്കുക എന്നതാണ് ചുമതല, ടണൽ അവയിൽ അപൂർവ്വമായി മാത്രമേ ഒന്നാകുന്നുള്ളൂ.