Гарц өөрийн админ хуудсаа байршуулдаг: дотоод эсвэл нийтийн хаяг

Админ хуудас гар утасны өгөгдөл дээрх утаснаас хариулж, VPN-д холбогдсон зөөврийн компьютерээс хугацаа хэтэрдэг. Туннельд юу ч эвдэрээгүй, учир нь хүсэлт хэзээ ч түүн рүү ордоггүй. Хостын нэр гарцын нийтийн хаяг руу шийдэгддэг бөгөөд энэ хаяг нь өөрөө төгсгөдөг туннелийн гаднаас л хүрч болно. Үүнийг засах нь үйлчилгээнд дотоод орох хаалга өгөх бөгөөд гадаад төгсгөлийн цэгийг зөөх биш.

Хуудас туннелээр биш, гаднаас ачаалагдана

Хоёр өөр хүсэлтийг харьцуулж байна. Гар утасны өгөгдлөөс хөтөч нийтийн хаяг руу шууд хүрнэ. Туннелийн дотроос ижил нэр ижил нийтийн хаяг руу шийдэгдэж, пакет одоо туннелийн өөрийнх нь холын тал дахь хаяг руу хүрэхийн тулд туннелээс гарах ёстой. Ижил нэр, ижил хаяг, хоёр тэс өөр байрлал.

Очих газрын зам хаяг сонгодог, порт биш. Чиглүүлэлтийн хүснэгтэд 443 порт нь админ, 1194 порт нь тээвэр гэдгийг юу ч мэдэхгүй тул хоёуланг нь ижил очих газар гэж үздэг.

Тиймээс хуудас заримдаа ажиллаж, заримдаа ажиллахгүй, клиент ямар нэр, ямар сүлжээ ашигласнаас хамаарна. Энэ нь замын асуудал, баталгаажуулалтын асуудал биш. Хоёр клиент хоёулаа сайн баталгаажуулдаг.

Гадаад төгсгөлийн цэгийг хүрч болохоор байлгаарай

Бүрэн туннелийн профайлд VPN төгсгөлийн цэгт онцгой зам хэрэгтэй бөгөөд OpenVPN-ийн redirect-gateway сонголт яг үүнийг баримтжуулдаг: алслагдсан төгсгөлийн цэг өмнө байсан гарцаар дамжин зам хадгалдаг тул туннель өөр лүүгээ чиглэхгүй. Тэр онцгой замыг хасвал шифрлэсэн тээвэр туннелийг дагаж, сессийг давталтад дуусгана. Төгсгөлийн цэгийн хаяг туннелийн дотроос хүрч болохоор үлдэх шалтгаан нь яг тэр онцгой зам юм.

Үр дагавар нь нийтийн хаяг клиентээс хүрч болохоор үлддэг, тиймээс тэр хаяг руу хөтчийн хүсэлт мөн ижил онцгой замыг дагаж туннельд орохгүйгээр гарч чадна. Онцгой зам ажлаа хийж байна, хохирлыг нэр учруулж байна.

Ямар нэг зүйлийг өөрчлөхийн өмнө интерфэйсийн жагсаалт биш, замын шийдвэрийг уншина уу. Доорх командууд жагсаалт биш, шийдвэрийг хэвлэнэ. Тэдгээрийг бүтэлгүйтсэн клиентээс ажиллуулна уу.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Хайлт төгсгөлийн цэгийн замыг физик гарцаар харуулж байвал зан төлөв зөв бөгөөд админ хуудас зүгээр л буруу зам руу илгээгдэж байна. Яг тэнд нэрний шийдэл засвар болдог.

Үйлчилгээнд хувийн нэр өгөөрэй

Үйлчилгээнд туннелийн дотор гарцын хаяг руу шийдэгдэх нэр хэрэгтэй бөгөөд аппликейшн хүлээж буй гэрчилгээ болон хостын нэрний утгыг хадгална. Админ нэрэнд хувийн бүсийн бичлэг нь ердийн хариулт, мөн энэ нь тээврийн нэрийг хөндөхгүй орхино.

Тээврийн нэрийг дотоод хаяг руу дахин чиглүүлж болохгүй, учир нь дараагийн туннелийн бүтэц зөвхөн туннелийн дотор оршдог хаяг руу хүрэхийг оролдоно. Тэр алдаа яг нэг удаа ажилладаг VPN үүсгэдэг.

Хоёр хаягийн бүлгийг ч шалгаарай, учир нь үлдсэн AAAA бичлэг хөтчийг хувийн төлөвлөгөө хэзээ ч хамраагүй газар руу илгээж болно.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Бодлогыг процесс ажиллаж буй газартай тааруулаарай

Гарц дээр сонсож буй уугуул процессыг локал оролтын замаар хүрдэг тул оролтын хэлхээ болон сокетын холболт хүсэлтийг хүлээж авах эсэхийг шийднэ. Дамжуулах дүрэм болон IP дамжуулалт локал сонсогчийг хариулахад хүргэхгүй. Оролтын бодлогод туннелийн эх үүсвэрүүдийг зөвшөөрч, процесс туннель хүрч чадах хаягт холбогдсоныг баталгаажуулна уу.

Хостын порт дээр нийтэлсэн контейнер өөр замаар явдаг, учир нь пакет очих газар руу хөрвүүлэгдэж, дамжуулагдана. Тэр хүсэлт хостын дамжуулах бодлого болон Docker-ийн өөрийн дүрэмтэй таарч, тиймээс ажиллаж буй уугуул сонсогч ижил портыг татгалздаг контейнертой зэрэгцэн оршиж чадна.

Эхлэх дараалал хоёр тохиолдолд чухал, учир нь туннель боссны дараа л гарч ирдэг хаяг руу холболт ачаалах үед чимээгүй бүтэлгүйтдэг.

Хувийн хандалт болон татгалзсан нийтийн замыг шалгаарай

Аппликейшны өөрийн таних шалгалтыг хөндөхгүйгээр эрх бүхий клиентээс шинэ нэртэй хүсэлт хийгээрэй. Дараа нь туннелийн гаднаас ижил үйлчилгээг туршиж, хариу өгөхгүй байгааг баталгаажуулна уу. Хувийн нэр бол хязгаарлалт биш, тав тух, харин нийтийн хаягт холбогдсон хэвээр байгаа сонсогч нээлттэй хэвээр байна. Яг тэр сүүлийн шалгалтыг ихэнх хяналт алгасдаг.

Хэрэглэгчдэд өгсөн хостын нэрийг биш, холболт болон шүүлтүүрийн төлөвийг уншина уу. Ил болох нь сокетын шинж, нэрний биш. Тэр ялгаа нь ямар ч DNS өөрчлөлтийг даван туулдаг.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Дотоод хүсэлт хуудсыг буцааж, гадаад хүсэлтийн хугацаа хэтэрвэл үйлчилгээ нэг зориудын хувийн замтай бөгөөд тээвэр хүрч болохоор үлддэг. Гадаад хүсэлт хариулж байвал хэн нэгэн үйлчилгээг зөвхөн дотоод гэж тодорхойлохын өмнө сонсогч эсвэл нийтэлсэн контейнерийн бичлэгийг нарийсгах хэрэгтэй.