DNS хариу яагаад төлөвгүй VPN ирмэгийн галт ханан дээр бүтэлгүйтдэг вэ

Туннель ажиллаж байна, клиентүүд VPN хост руу хүрч чадна, гэвч хост юуг ч шийдэж чадахгүй. Түүний өөрийн гарч буй асуулгууд интерфейсийг цэвэрхэн орхиж байна, тиймээс алдаа нь буцах замд байна: хост дөнгөж юу илгээснийг санахгүйгээр ирж буй урсгалыг шүүдэг дээд ирмэг дээр. Туннелийн портыг зөвшөөрөх нь тэр солилцоог огт дүрслэхгүй. DNS асуулгад өгөх хариу нь тусдаа урсгал бөгөөд хэрэв ирмэг төлөвгүй бол түүнд буцах зөвшөөрөл өгсөн зүйл байхгүй.

Хоёр солилцоо нь нэг солилцоо биш

Кортежүүдийг бичээд үзэхэд алдаа тодорхой болно. Хүсэлтийн зорьсон порт нь хариуны эх порт болно, энэ нь 53 портод ирж буй дүрэм нэмэх үед олон хүний төсөөлдгийн яг эсрэг юм:

query:  203.0.113.10:53018 -> 198.51.100.53:53
reply:  198.51.100.53:53 -> 203.0.113.10:53018

Зорьсон порт 53-ыг шаарддаг ирж буй дүрэм нь хост дээр ажиллаж буй DNS сонсогчид хаягласан урсгалыг дүрсэлдэг бөгөөд энэ нь огт өөр үйлчилгээ юм. Тэдгээр хаяг нь баримт бичгийн жишээ бөгөөд эх портыг клиент асуулга бүрт сонгодог тул дүрэмд хуулж, үргэлжлүүлэн ажиллана гэж найдаж болох утга биш.

Төлөвгүй ирмэг ба төлөвтэй хост галт хана

Төлөвгүй ирмэгийн шүүлтүүр нь ард нь холболтын хүснэгтгүйгээр ирж буй пакет бүрийг өөрийн дүрмийн жагсаалттай тулгаж үнэлдэг. Амжилттай гарсан гарч буй асуулга нь өөрийн ирж буй хариунд ямар ч зөвшөөрөл үүсгэхгүй, учир нь төхөөрөмжид асуулга хэзээ нэгэнт болсон гэсэн бүртгэл байхгүй. Төлөвтэй хост галт хана нь эсрэгээрээ: түүний холболт хяналт нь зөвшөөрөгдсөн солилцооны буцах урсгалыг таньж, хариунд дүрэмгүйгээр нэвтрүүлдэг. Хоёр хил нь ердийн замд байдаг, мөн хоёулаа зорьсон пакетыг зөвшөөрөх ёстой.

Харьцуулалт чухал, учир нь хоёр төхөөрөмж өөр өөрөөр бүтэлгүйтдэг. Хариуг татгалздаг төлөвтэй галт хана унагасан гэж бүртгэнэ; төлөвгүй ирмэг түүнийг чимээгүй татгалздаг тул хост зүгээр л хугацаа хэтэрдэг.

Зөвшөөрлийг портын дугаар биш, протоколын эргэн тойронд бүтээ

Дүрмийг бодит шийдэгчийн хаяг, зорьсон хост, бүтээгдэхүүний дэмждэг хүлээн авах портын бодлогод хүртэл нарийсга. DNS-ийн TCP замыг ч санаарай, учир нь том хариу эсвэл таслалтаас болж ухрах нь солилцоог TCP руу шилжүүлдэг ба зөвхөн UDP-ийн дүрэм үүнийг хамахгүй. Хэрэв ирмэг тодорхой урсгалд төлөвтэй шалгалтыг дэмждэг бол гараар бичсэн хариуны дүрмээс түүнийг илүүд үзээрэй, учир нь төлөвтэй зам клиентийн сонгосон портуудыг автоматаар дагадаг.

Дараа нь зам дахь аль бүтээгдэхүүн урсгалыг үнэхээр шүүж байгааг баталгаажуул. Баримтжуулсан IPv4 ирмэгийн хамрах хүрээ нь IPv6 бодлогыг тогтоохгүй бөгөөд нийлүүлэгчийн дотоод урсгал тэр шүүлтүүрээр хэзээ ч өнгөрөхгүй байж болно.

Ямар ч эх порт 53-ыг зөвшөөрөх нь яагаад засвар биш вэ

Эх порт 53 гэж мэдэгдэж буй бүхнийг хүлээн авдаг дүрэм нь илгээгчийн толгойн талбарт бичсэнийг хүлээн авдаг дүрэм юм. Портын дугаар нь илгээгчийг баталгаажуулахгүй, ачаа нь хүчинтэй хариу гэдгийг нотлохгүй тул дүрэм нь шийдвэрийг илүү найдвартай болгохгүйгээр хостын эрсдэлийг өргөжүүлдэг. Хандалтын жагсаалтыг хялбарчлахын тулд унтраахын оронд эх хязгаарлалт болон клиентийн өөрийн хариуны шалгалтыг, эх портын санамсаргүй болгоныг оролцуулан, хадгал.

Хэрэв шийдэгч нь таны хянадаг үйлчилгээ бол түүний хаягаар хязгаарлах нь хангалттай. Хэрэв энэ нь нийтийн шийдэгч бол таны зөвшөөрсөн хаягаар хязгаарлаж, тэдгээрийг дүрмийн тайлбарт бичээрэй.

Зөв хил дээр, зөв чиглэлд шалга

Нэг асуулгын хувьд хост болон ирмэг дээр бичээд, пакетын тоо биш кортежүүдийг харьцуул. Хоёр талд харагдаж байгаа ч хост талд хариу харагдахгүй асуулга нь ирж буй шүүлтүүр рүү заана; зөвхөн хост талд харагдах асуулга нь чиглүүлэлт эсвэл шийдэгч рүү заана. Хэрэв танд зөвхөн UDP зөвшөөрөл байвал TCP асуулгаар давтаж үзээрэй, учир нь анхны туршилтын харж чадахгүй цоорхой нь тэр юм.

Үүнийг засах нь хостод үнэхээр хэрэгтэй DNS солилцоог гүйцээнэ. Энэ нь хостыг нийтийн шийдэгч болгохгүй, дамжуулсан VPN урсгалыг зөвшөөрөхгүй, DNS нь ямар нэгэн холбоогүй туннелийн асуудлын шалтгаан байсан гэдгийг нотлохгүй.