Adakah klien VPN pada pelayan web anda merosakkan balasannya?

Laman dimuatkan dari komputer riba pada rangkaian yang sama dan tamat masa dari mana-mana sahaja, dan hos juga menjalankan klien VPN untuk trafik keluarnya sendiri. Gabungan itu menghasilkan kegagalan tertentu: sambungan masuk tiba, balasan keluar melalui laluan yang salah, dan klien di luar tidak pernah melihat balasan. Kedua-dua bahagian muncul dalam tangkapan paket yang sama, jadi urutan peristiwa ialah bahagian yang berbaloi dibaca.

Peraturan laluan berasaskan sumber selalunya membaiki gejala itu. Ia juga biasanya mengecualikan lebih banyak trafik daripada laman yang mencetuskannya, dan itulah bahagian yang berbaloi difahami sebelum anda menyimpan peraturan.

Gejala: ia menjawab secara setempat dan bukan dari luar

Di dalam rangkaian balasan tidak perlu melintasi terowong, jadi halaman dimuatkan dan perkhidmatan kelihatan sihat. Dari luar, permintaan sampai ke hos dan balasan dihalakan ke dalam VPN, di mana hujung jauh tiada sebab untuk menerimanya. Pelayar melihat tamat masa dan bukan penolakan, yang merupakan tanda laluan sehala dan bukan port tertutup.

Sahkan bentuknya sebelum menukar penghalaan: pendengar aktif, permintaan setempat berjaya, dan permintaan luaran tidak menghasilkan sebarang balasan. Ketiga-tiga pemerhatian itu bersama-sama menunjuk ke laluan pulang dan bukan ke konfigurasi pelayan web. Asimetri yang begitu bersih lebih berguna daripada mana-mana baris log, kerana ia menyingkirkan pendengar sebelum anda membaca satu mesej ralat pun.

Kekalkan laluan pentadbiran bebas terbuka semasa anda bekerja. Peraturan yang merosakkan sesi SSH anda sendiri mengubah pembaikan sepuluh minit menjadi lawatan fizikal.

Apa yang sebenarnya dipadankan oleh pemilih sumber

Dalam penghalaan dasar Linux, peraturan seperti from 192.168.50.2 memadankan paket yang sumbernya ialah alamat itu. Ia tidak mengekod fakta bahawa paket itu meneruskan perbualan yang masuk melalui penghala rumah, dan ia tidak tahu proses mana yang menciptanya. Alamat dalam contoh itu adalah ilustratif; gantikannya dengan alamat yang benar-benar digunakan oleh hos anda. Anggap baris itu sebagai pernyataan tentang alamat dan tidak lebih.

Jika jadual yang dipilih menyediakan laluan lalai biasa, setiap paket yang membawa sumber itu boleh mengambil pengecualian yang sama. Perkhidmatan lain yang terikat pada alamat yang sama mewarisinya, dan aplikasi yang sengaja mengikat pada alamat itu juga mewarisinya. Rujukan peraturan dasar menyenaraikan sumber, destinasi, protokol, port, tanda dan keutamaan sebagai pemilih berasingan, yang mengingatkan bahawa sumber sahaja ialah yang paling kasar yang tersedia.

Keutamaan menentukan hasilnya. Carian berjalan mengikut urutan dan jadual pertama yang menghasilkan keputusan boleh menamatkan carian, jadi peraturan yang diletakkan terlalu awal boleh menyembunyikan laluan yang lebih khusus yang akan disediakan oleh jadual kemudian. Baca keseluruhan senarai tersusun dan bukan hanya baris yang anda tambah. Peraturan yang tidak pernah sepadan tidak menelan kos, manakala yang sepadan terlalu awal mengubah segala-galanya di belakangnya secara senyap.

Semak laluan pulang dan trafik yang tidak anda niatkan

Baca peraturan dan jadualnya, kemudian tanya kernel laluan mana yang akan diambil oleh pasangan sumber dan destinasi tertentu. Menguji dari hos itu sendiri tidak sama dengan menguji dari luar, jadi lakukan kedua-duanya.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Kemudian terima sambungan luaran baharu dan, secara berasingan, permintaan yang masih perlu keluar melalui VPN. Jika yang kedua kini keluar terus, pengecualian itu lebih luas daripada masalah yang anda selesaikan, dan ujian yang penting ialah ujian yang anda tidak berniat untuk ubah.

Semakan alamat awam dalam pelayar hanya melaporkan permintaan yang dibuat oleh pelayar itu. Ia tidak mengatakan apa-apa tentang balasan pelayan web, tentang pemilihan sumber oleh aplikasi setempat yang lain, atau tentang apa yang berlaku kepada trafik pengurusan selepas sambungan semula VPN seterusnya.

Tentukan sejauh mana sempit pengecualian itu boleh

Dua reka bentuk boleh dipertahankan dan kedua-duanya harus dipilih secara sedar. Jika hos wujud untuk menerbitkan perkhidmatan ini dan trafik keluarnya tidak penting, alamat setempat khusus dengan dasar hanya WAN ialah susunan yang wajar asalkan anda menerima keseluruhan skopnya. Jika hanya sambungan masuk tertentu harus layak, pemilihan alamat terlalu kasar dan reka bentuk yang peka sambungan harus berada di hadapannya.

Catat kontrak yang anda bergantung padanya: pemetaan awam, alamat hos tempat permintaan dihantar, dan laluan yang dijangka diambil oleh balasan. Perkhidmatan masuk yang diterbitkan melalui penyedia VPN ialah kontrak yang berbeza daripada yang diterbitkan melalui penghala rumah, dan pengecualian yang disalin daripada satu contoh selalunya salah untuk yang lain.

Kekalkan dasar itu dalam komponen yang memiliki penghalaan dan bukannya menampal arahan ke dalam fail permulaan. Urutan peraturan, pembersihan selepas perubahan rangkaian dan ulangan selepas but semula semuanya mesti bertahan, dan fail permulaan yang tidak diuji biasanya gagal pada saat anda tidak melihat. Akhiri dengan hasil penerimaan yang boleh anda pertahankan: satu laman yang diterbitkan dipulihkan dan satu aliran tidak berkaitan kekal tidak berubah.