Access Server ക്ലയന്റുകൾ LAN-ൽ നിന്ന് എത്തിപ്പെടാത്തത് എന്തുകൊണ്ട്

ലാപ്‌ടോപ്പ് കണക്റ്റ് ചെയ്യുന്നു, ടണൽ ഉയർന്നിരിക്കുന്നു, ആന്തരിക സേവനത്തിലേക്കുള്ള അഭ്യർത്ഥനകൾ കണക്റ്റിംഗിൽ തൂങ്ങിക്കിടക്കുന്നു. സേവനത്തിൽ തന്നെ അഭ്യർത്ഥന 10.90.0.25 പോലുള്ള ഒരു വിലാസത്തിൽ നിന്ന് വരുന്നു, മറുപടി ഡിഫോൾട്ട് ഗേറ്റ്‌വേയിലേക്ക് പോകുന്നു, ഒന്നും തിരികെ വരുന്നില്ല, കാരണം 10.90.0.25 എവിടെയാണെന്ന് ആ ഗേറ്റ്‌വേയ്ക്ക് അറിയില്ല. മറുവശത്തുനിന്ന് അതേ തകരാർ കണക്റ്റ് ചെയ്ത ക്ലയന്റിനെ പിംഗ് ചെയ്യാൻ കഴിയാത്ത ഒരു ആന്തരിക ഹോസ്റ്റായി തോന്നുന്നു. രണ്ടും ഒരു കാണാത്ത വസ്തുവാണ്: VPN ക്ലയന്റ് പൂളിലേക്കുള്ള തിരികെ റൂട്ട്, അത് സ്വകാര്യ നെറ്റ്‌വർക്കിന് മാത്രമേ ചേർക്കാൻ കഴിയൂ.

സേവനം കാണുന്ന ഉറവിട വിലാസം വായിക്കുക

ആ ഒരു ഫീൽഡാണ് ബാക്കിയെല്ലാം തീരുമാനിക്കുന്നത്. ആന്തരിക സേവനം പൂൾ വിലാസം കാണുകയാണെങ്കിൽ, Access Server ക്ലയന്റ് ട്രാഫിക് മറയ്ക്കുന്നതിനുപകരം റൂട്ട് ചെയ്യുകയാണ്, ഓരോ മറുപടിയും പൂളിലേക്ക് തിരികെ റൂട്ട് ചെയ്യണം. പകരം സർവറിന്റെ സ്വന്തം സ്വകാര്യ വിലാസം കാണുകയാണെങ്കിൽ, സർവർ മാസ്കറേഡ് ചെയ്യുന്നു, തിരികെയുള്ള പാത ഇതിനകം പ്രവർത്തിക്കുന്നു, പക്ഷേ സേവനത്തിന്റെ ലോഗുകളിലും ആക്സസ് നിയമങ്ങളിലും ഓരോ ക്ലയന്റിന്റെയും ഐഡന്റിറ്റി നഷ്ടപ്പെടുന്നു.

എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് രണ്ട് അറ്റങ്ങളും താരതമ്യം ചെയ്യുക. സർവറിൽ ടണൽ ഇന്റർഫേസുകളും അവയുടെ വിലാസങ്ങളും ലിസ്റ്റ് ചെയ്യുക; ക്ലയന്റിൽ അത് യഥാർത്ഥത്തിൽ ഏത് വിലാസമാണ് കൈവശം വയ്ക്കുന്നതെന്ന് സ്ഥിരീകരിക്കുക; ആന്തരിക ഹോസ്റ്റിൽ സജീവമായ ഒരു കണക്ഷൻ നോക്കുക.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

തകർന്ന സാഹചര്യത്തിൽ പരാജയപ്പെടുന്നത് അവസാന കമാൻഡാണ്: അത് ടണൽ പ്രിഫിക്സ് എത്തിപ്പെടാനാകാത്തതായി റിപ്പോർട്ട് ചെയ്യുന്നു, അല്ലെങ്കിൽ, അതിനെക്കാൾ മോശം, നിങ്ങളുടെ ഡിഫോൾട്ട് ഗേറ്റ്‌വേ തിരികെ നൽകുന്നു, അങ്ങനെയാണ് മറുപടികൾ ഇന്റർനെറ്റിൽ എത്തുന്നത്.

ഒരു പൂൾ മാത്രമാണെന്ന് കരുതരുത്. ഒരു സർവറിന് ഡൈനാമിക് ശ്രേണിയും ഓരോ ഉപയോക്താവിന്റെയും സ്റ്റാറ്റിക് മാപ്പിംഗുകളും ഉണ്ടാകാം, സ്റ്റാറ്റിക് വിലാസം ഡൈനാമിക് പ്രിഫിക്സിന് പൂർണ്ണമായി പുറത്തായിരിക്കാം. നിങ്ങൾ ഓർമ്മയിലുള്ള ശ്രേണി മാത്രം റൂട്ട് ചെയ്താൽ, സ്ഥിര വിലാസമുള്ള ഉപയോക്താക്കൾ തകർന്നു തന്നെയിരിക്കും, മറ്റെല്ലാവരും പ്രശ്നം പരിഹരിച്ചതായി റിപ്പോർട്ട് ചെയ്യും.

മറുപടി തീരുമാനിക്കുന്നിടത്ത് റൂട്ട് ചേർക്കുക

റൂട്ട് ആന്തരിക സേവനം ഇതിനകം ഉപയോഗിക്കുന്ന ഗേറ്റ്‌വേയിലാണ്, സേവനത്തിലല്ല, അത് സ്വന്തം ട്രാഫിക് റൂട്ട് ചെയ്യുന്നില്ലെങ്കിൽ. ക്ലയന്റിനുള്ള ടണൽ വിലാസത്തിൽ നിന്ന് വ്യത്യസ്തമായ, Access Server-ന്റെ എത്തിപ്പെടാവുന്ന സ്വകാര്യ വിലാസത്തിലേക്ക് അത് ചൂണ്ടിക്കാണിക്കുക.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

ക്ലൗഡ് നെറ്റ്‌വർക്കിൽ അതേ പ്രസ്താവന ഒരു റൂട്ട് ടേബിൾ എൻട്രിയാകുന്നു, അതിന്റെ ലക്ഷ്യം സർവർ പ്രവർത്തിക്കുന്ന ഇൻസ്റ്റൻസോ നെറ്റ്‌വർക്ക് ഇന്റർഫേസോ ആണ്, ആ ഇന്റർഫേസിൽ ഉറവിട-ലക്ഷ്യ പരിശോധന പ്രവർത്തനരഹിതമാണ്. ആ എൻട്രി എന്ത് ചെയ്യുന്നില്ലെന്ന് ശ്രദ്ധിക്കുക: റൂട്ട് എന്നത് ആക്സസ് അനുവാദമല്ല, അതിനാൽ സെക്യൂരിറ്റി ഗ്രൂപ്പുകളും നെറ്റ്‌വർക്ക് ACL-കളും ഹോസ്റ്റ് ഫയർവാളും ട്രാഫിക് അനുവദിക്കണം.

ഇത് സ്ഥിരമാക്കുക, പൂളുകളുടെ വലിപ്പം സത്യസന്ധമായി നിലനിർത്തുക. അടുത്തടുത്തല്ലാത്ത രണ്ട് പൂളുകൾക്ക് രണ്ട് റൂട്ട് വേണം, കോൺഫിഗർ ചെയ്ത പ്രിഫിക്സിനപ്പുറം വളരുന്ന പൂൾ മറുപടികൾക്ക് പോകാൻ ഇടമില്ലാത്ത ക്ലയന്റുകളെ നിശ്ശബ്ദമായി സൃഷ്ടിക്കുന്നു. പൂൾ ശ്രേണികൾ നിങ്ങൾ നിയന്ത്രിക്കുന്നുവെങ്കിൽ, ഒരിക്കൽ റൂട്ട് ചെയ്ത് ഉപേക്ഷിക്കാവുന്ന ഒരു സംഗ്രഹം തിരഞ്ഞെടുക്കുക.

ഫോർവേഡിംഗും ഫിൽട്ടറുകളും റൂട്ടുമായി യോജിക്കണം

റൂട്ടിംഗ് പാതയുടെ പകുതി മാത്രമാണ്. സർവറിന് ടണലിനും സ്വകാര്യ ഇന്റർഫേസിനും ഇടയിൽ ഫോർവേഡ് ചെയ്യാൻ അനുവാദം വേണം, ലിനക്സിൽ ഇത് net.ipv4.ip_forward കൂടാതെ ഇന്റർഫേസുകളുടെ ജോടിക്ക് അനുവാദം നൽകുന്ന ഫോർവേഡ് ചെയിനും അർത്ഥമാക്കുന്നു, കടുപ്പമുള്ള ഹോസ്റ്റിൽ സാധാരണയായി ഓരോ ദിശയ്ക്കും വ്യക്തമായ നിയമം.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

സ്റ്റേറ്റ്ഫുൾ ഫിൽട്ടറിംഗ് ആളുകളെ തെറ്റായ വഴിയിലേക്ക് നയിക്കുന്ന ഒരു ലക്ഷണം വിശദീകരിക്കുന്നു. സ്ഥാപിതമായ ഒരു ഫ്ലോയ്ക്കുള്ളിലെ മറുപടിക്ക് പുതിയ ഇൻബൗണ്ട് നിയമം ആവശ്യമില്ല, അതിനാൽ SYN-ACK-ന് ശേഷം തൂങ്ങിക്കിടക്കുന്ന കണക്ഷനെ കാണാത്ത അംഗീകാര നിയമം തടയുകയല്ല; അത് ഉപേക്ഷിക്കപ്പെടുകയോ തെറ്റായി റൂട്ട് ചെയ്യപ്പെടുകയോ ചെയ്യുന്നു. ഈ വ്യത്യാസം നിലനിർത്തുക, കാരണം അത് റൂട്ടിംഗ് മാറ്റത്തെ ഫയർവാൾ മാറ്റത്തിൽ നിന്ന് വേർതിരിക്കുന്നു.

അസമമായ തിരിച്ചുവരവ് പാതകൾ അതേ പ്രശ്നത്തിന്റെ ശാന്തമായ പതിപ്പാണ്. പൂളിലേക്ക് രണ്ട് റൂട്ട് എത്തുകയും അഭ്യർത്ഥന വന്ന ഇന്റർഫേസിൽ നിന്ന് വ്യത്യസ്തമായ ഇന്റർഫേസിലൂടെ മറുപടി പോകുകയും ചെയ്താൽ, കർശനമായ റിവേഴ്സ്-പാത്ത് ഫിൽട്ടറിംഗ് അത് ഉപേക്ഷിക്കുന്നു, ചില ക്ലയന്റുകൾക്ക് മാത്രം ഫ്ലോ പരാജയപ്പെടുന്നു.

റൂട്ടഡ് അല്ലെങ്കിൽ മാസ്കറേഡ്: ബോധപൂർവം തിരഞ്ഞെടുക്കുക

റൂട്ടഡ് മോഡ് സേവനത്തിൽ ക്ലയന്റിന്റെ പൂൾ വിലാസം സംരക്ഷിക്കുന്നു, ഇത് ഓരോ ക്ലയന്റിനും ലോഗിംഗും നയവും സാധ്യമാക്കുന്നു, പകരമായി ഒരു ക്ലയന്റിന് മറുപടി നൽകേണ്ട ഓരോ ആന്തരിക നെറ്റ്‌വർക്കിനും പൂൾ റൂട്ട് വേണം. മാസ്കറേഡ് മോഡ് ആ ആവശ്യകത നീക്കുന്നു, കാരണം മറുപടികൾ സർവറിലേക്ക് തിരികെ വരുന്നു, പക്ഷേ സേവനത്തിന് ഇനി ഒരു ക്ലയന്റിനെ മറ്റൊരാളിൽ നിന്ന് വേർതിരിക്കാനാകില്ല, ഒരു നിർദ്ദിഷ്ട ക്ലയന്റിലേക്ക് ഒന്നും ആരംഭിക്കാനും കഴിയില്ല.

പ്രവർത്തിക്കുന്ന സർവറിൽ ഈ പെരുമാറ്റം മാറ്റിയാൽ നിലവിലുള്ള സെഷനുകൾ വിച്ഛേദിക്കപ്പെടും, അതിനാൽ ആദ്യം ഒരു ക്ലയന്റും ഒരു ഫ്ലോയും ഉപയോഗിച്ച് പരീക്ഷിക്കുക. മാറ്റമാണ് ശരിയായ ഉത്തരമെങ്കിൽ, അത് സർവറിലെ കോൺഫിഗറേഷൻ തീരുമാനമാണ്, പിന്നീട് അനാവശ്യമാകുന്ന റൂട്ടുകൾ ചേർത്ത് ഒഴിവാക്കേണ്ട കാര്യമല്ല.

ക്ലയന്റിന് പിന്നിലുള്ള സബ്‌നെറ്റ് പ്രത്യേക ജോലിയാണ്

ലാപ്‌ടോപ്പിന്റെ സ്വന്തം LAN-ലുള്ള ഒരു ഉപകരണത്തിലേക്ക് എത്തുന്നത് ലാപ്‌ടോപ്പിന്റെ ടണൽ വിലാസത്തിൽ എത്തുന്നതിന് തുല്യമല്ല. ക്ലയന്റ് ഒരു സബ്‌നെറ്റ് ഗേറ്റ്‌വേയായി പ്രവർത്തിക്കണം: ക്ലയന്റ് ഭാഗത്ത് പ്രഖ്യാപിച്ച നെറ്റ്‌വർക്ക്, ക്ലയന്റിന്റെ ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൽ പ്രവർത്തനക്ഷമമാക്കിയ ഫോർവേഡിംഗ്, ആ LAN-ൽ ക്ലയന്റിലേക്ക് തിരികെയുള്ള റൂട്ട്. ലാപ്‌ടോപ്പിന്റെ വീട്ടിലെ ശ്രേണിക്ക് സ്വകാര്യ നെറ്റ്‌വർക്ക് റൂട്ട് ചേർക്കുന്നത് ഇത് ചെയ്യുന്നില്ല, രണ്ട് ഉപയോക്താക്കൾക്ക് ഒരേ വീട്ടിലെ ശ്രേണി ഉള്ളപ്പോൾ അത് സംഘർഷങ്ങൾ സൃഷ്ടിക്കുന്നു.

ദിശയും ഒരു നയപരമായ ചോദ്യമാണ്. ഒരു ക്ലയന്റിന് ആന്തരിക സേവനത്തിലേക്ക് കണക്ഷൻ തുറക്കാനുള്ള അനുവാദം ആന്തരിക ഹോസ്റ്റിന് ആ ക്ലയന്റിലേക്ക് കണക്ഷൻ തുറക്കാൻ സ്വയമേവ അനുവാദം നൽകുന്നില്ല. പാത തകർന്നതാണെന്ന് തീരുമാനിക്കുന്നതിന് മുമ്പ് സർവറിന്റെ ആക്സസ് നയവും ക്ലയന്റിന്റെ ഹോസ്റ്റ് ഫയർവാളും പരിശോധിക്കുക.

ഒരു ഫ്ലോയും ഒരു ക്യാപ്ചറും കൊണ്ട് പരിശോധിക്കുക

പൊതുവായ എത്തിപ്പെടാനുള്ള പരിശോധനയ്ക്ക് പകരം ഒരു കണക്ഷൻ കൊണ്ട് പാത തെളിയിക്കുക. രണ്ട് അറ്റങ്ങളിലും ഒരേ ഫ്ലോ നിരീക്ഷിക്കുക: സേവനത്തിൽ എത്തുന്ന അഭ്യർത്ഥനയും അത് വിട്ടുപോകുന്ന മറുപടിയും.

tcpdump -ni any host 10.90.0.25 and port 443

തിരുത്തലിന് മുമ്പ് ക്യാപ്ചർ മറുപടി റൂട്ട് ചെയ്യാത്ത ഒരു ഗേറ്റ്‌വേയിലേക്ക് പോകുന്നത് കാണിക്കുന്നു. തിരുത്തലിന് ശേഷം മറുപടി സർവറിലേക്ക് പോകുന്നു, ഫ്ലോ പൂർത്തിയാകുന്നു. പിന്നീട് നിങ്ങൾ ഉൾക്കൊള്ളാത്ത ഒരു പൂൾ ഒരു ആഴ്ചയ്ക്ക് ശേഷമല്ല ഇപ്പോൾ തന്നെ പ്രത്യക്ഷപ്പെടാൻ, രണ്ടാമത്തെ ക്ലയന്റ് വിലാസത്തിന് ഗേറ്റ്‌വേ ഉപയോഗിക്കുന്ന റൂട്ട് സ്ഥിരീകരിക്കുക.

ഇത് അവസാനിപ്പിക്കുന്ന നാല് പരിശോധനകളോടെ തീർക്കുക: സേവനത്തിലെ ഉറവിട വിലാസം നിങ്ങൾ ഉദ്ദേശിച്ച മോഡുമായി യോജിക്കുന്നു, ഉപയോഗത്തിലുള്ള ഓരോ പൂളിലേക്കും ഗേറ്റ്‌വേയ്ക്ക് റൂട്ട് ഉണ്ട്, ഫോർവേഡിംഗും ഫിൽട്ടറുകളും രണ്ട് ദിശകളും അനുവദിക്കുന്നു, ഒരു യഥാർത്ഥ ഫ്ലോ തുടക്കം മുതൽ അവസാനം വരെ പൂർത്തിയാകുന്നു. Access Server റൂട്ടിംഗിനെക്കുറിച്ചുള്ള പതിവ് ചോദ്യങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്ത പതിപ്പിനായി അതേ തത്വം പറയുന്നു, അതിന്റെ പിന്തുണയ്ക്കുന്ന കോൺഫിഗറേഷൻ ഇന്റർഫേസ് പഴയ ഗൈഡുകളിൽ നിന്ന് വ്യത്യസ്തമായേക്കാം.