VPN клиентийн ард байгаа сервер яагаад туннелээр хариулдаг вэ

VPN клиент мөн ажиллуулдаг хост руу ирж буй холболтууд маш өвөрмөц байдлаар бүтэлгүйтдэг: гар барилт ирдэг, демон хариулдаг, харин клиент юу ч буцаж авдаггүй. Портыг юу ч хаадаггүй. Хариулт туннелээр гарчээ, учир нь туннел үндсэн маршрутыг эзэмшдэг бөгөөд цөм хариултуудыг очих газраар нь маршрутладаг, хүсэлт хаанаас ирснийг санахаар биш. Тэр нэг орхигдол дараагийн бүх шинж тэмдгийг тайлбарладаг.

Хариулт маршрутлагдана, санагдахгүй

Үндсэн маршрут суулгадаг VPN клиент нь LAN гарцыг давсан бичлэг нэмдэг, метрикаар эсвэл орон зайг илүү нарийн хоёр хагаст хуваах замаар. Гарч буй пакетууд одоо туннелийн интерфейсийг сонгодог. Цөм нь хариулж буй пакет анх хаанаас ирснийг хэзээ ч асуудаггүй. Тэр нэг орхигдол дараагийн бүх шинж тэмдгийг тайлбарладаг.

Урагшлах чиглэл очих газраар маршрутлагдана, буцах чиглэл ч мөн адил. Хариулт нь туннель баяртайгаар зөөх нийтийн клиент руу хаяглагдсан. Холын төгсгөл өөрийн мэдэлд байхгүй эх сурвалжтай пакетыг хүлээн авч, хаяад, анхны клиент хугацаа дуустал хүлээнэ.

Хатуу буцах зам шүүлтүүр нь демон уншихаас өмнө ирж буй пакетыг хаяж болно. Эхлээд тэр тоолуурыг шалгаарай, учир нь шүүлтүүрийн хаялт ба маршрутлалын алдаа гаднаас ижил харагддаг.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Эхний команд нь одоо аль үндсэн маршрут ялж байгааг харуулна. Хоёр дахь нь хатуу шүүлтүүр глобал эсвэл интерфейс тус бүрд үйлчилж байгааг мэдээлнэ, гурав дахь нь оролцож болох дамжуулах гинжин хэлхээний дурын дүрмийг харуулна.

Буцах замыг хадгалах гурван арга

Үйлчилгээний очих газрыг туннелээс гадуур үлдээх нь хамгийн нарийн сонголт. LAN гарц руу чиглэсэн хост маршрут, дээр нь бүх хаяг руу биш физик хаяг руу холбогдсон демон тэр нэг урсгалыг туннелээс гадуур барина. Өөрчлөлт нь орон нутгийн бөгөөд буцаах амархан.

Бодлогын маршрутлал бол ерөнхий хариулт. Эх хаяг эсвэл галт ханын тэмдэг дээр түлхүүрлэсэн дүрэм нь үндсэн нь WAN гарц руу заасан хүснэгтийг сонгодог бол хост өөрийн холболтууд туннелийг үргэлжлүүлэн ашиглана. Дараа нь дүрэм сүүдэрт орохгүйн тулд эрэмбийг тодорхой барина уу.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Эхний хоёр команд нь нийтийн хаягаас гарсан хариултуудад зориулсан өөр замыг барьдаг. Гурав дахь нь цөмөөс яг тэр эх ба очих газар ямар зам авахыг асуудаг бөгөөд ингэснээр дүрэм ямар нэг нөлөөтэй гэдгийг батална.

Эх сурвалжийн хөрвүүлэлт нь гурав дахь сонголт бөгөөд үйлчилгээний өмнө аль хэдийн NAT хийж буй маршрутлагчийн өмнө тэсвэрлэдэг цорын ганц сонголт. Хариулт тэр маршрутлагч руу буцах ёстой бөгөөд WAN интерфейс рүү масклах нь үүнийг хангаж, клиентийг үйлчилгээний бүртгэлээс нуудаг. Холбогдсоны дараа үндсэн маршрутыг гараар солих нь оношилгоо, учир нь клиент дараагийн дахин холбогдох үед хүснэгтийг дахин бичдэг.

Хайрцаг LAN-д мөн маршрутладаг үед

Мөн алдаа нь хост ард байгаа төхөөрөмжүүдэд маршрутладаг үед нэг үсрэлт цааш гарч ирдэг. Ирж буй холболт нь буцах зам нь зөвхөн туннель байдаг дотоод төхөөрөмж рүү дамждаг бөгөөд хариулт нийлүүлэгчийн хаягаас гадаад клиентэд хүрдэг. Дотоод төхөөрөмж бүх хугацаанд зөв ажиллаж байна.

Дараа нь холболтын хяналт хэзээ ч бүртгээгүй урсгалд хариулт харж, түүнийг хаядаг. Очих газрын хөрвүүлэлт нь ирж буй холболтыг төхөөрөмжид хүргэдэг, эх сурвалжийн хөрвүүлэлт нь хариултыг маршрутлагч өөрөөс нь гарсан мэт харагдуулдаг.

Дамжуулсан портыг WAN дээр байлгаж, маршрутлагчийн өөрийн трафик туннелийг ашигладаг бодлогын маршрут нь илүү цэвэр эквивалент юм. Эх сурвалжийн хөрвүүлэлтгүй бол хариулт гадаад клиент руу хаяглагдаж, дотоод төхөөрөмжид тэр хаяг руу огт маршрут байхгүй.

Шалтгааныг тусгаарлах гурван шалгалт

Гурван шалгалт хийгээрэй: интернэтээс хайрцаг руу холболт, түүнээс нийтийн хост руу холболт, нэр хайлт. Эхний хоёр зөрвөл буцах зам буруутай. Нэрүүд хоёр чиглэлд бүтэлгүйтвэл шийдэгч нь туннелийг л хуваалцдаг өөр гэмтэл.

Эхлээд маршрутлалын асуудлыг засаад, дараа нь нэрсийг хар. Хоёрыг хольсон нь ажиллаж буй серверийг эвдэрсэн шийдэгчийн буруутгах арга.

Онцгой тохиолдол ямар интерфейсийг нэрлэдэг талаар тэмдэглэж, тохиргоог хувилбарын хяналтад байлга. Шинэчлэлийн дараа нэр нь өөрчлөгддөг интерфейсийн эсрэг бичсэн дүрэм өнөөдөр тэнцэж, дараагийн дахин ачаалсны дараа бүтэлгүйтдэг.