Mengapa alamat terowong VPN anda tidak membuka port masuk
Alamat terowong mengenal pasti klien anda kepada rakan sebaya yang boleh menghalakan ke sana, dan tidak pernah mencipta pendengar. Semak pengikatan, laluan balik, kemudian dasar.
Sambung ke VPN pejabat, mulakan perkhidmatan kecil pada port 8443, hantar alamat terowong kepada rakan sekerja, dan lihat sambungan gagal sementara klien masih melaporkan ia bersambung. Tiada apa yang rosak dalam terowong: alamat telah diberikan, sesi aktif, dan paket yang sepatutnya membawa jawapan langsung tidak pernah dibenarkan masuk. Lakukan tiga pemeriksaan di bawah mengikut urutan dan berhenti pada yang gagal, kerana setiap satu mempunyai pembetulan berbeza dan hanya satu daripadanya berkaitan VPN.
Mulakan dengan tempat soket sebenarnya diikat
Sebelum apa-apa dihalakan, sesuatu mesti mendengar pada alamat yang boleh dicapai oleh pemanggil. Pelayan pembangunan ialah pesalah biasa, kerana banyak daripadanya mengikat ke loopback secara lalai dan hanya menerima sambungan yang berasal dari mesin yang sama. Alamat terowong tidak mengubah pengikatan itu, dan sistem pengendalian akan menolak sambungan jauh sebelum VPN terlibat.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Baca lajur alamat setempat dan bukan keadaan. 127.0.0.1:8443 bermaksud loopback sahaja, dan pembetulannya ialah pengikatan pada 0.0.0.0 atau pada alamat terowong itu sendiri. 0.0.0.0:8443 menerima pada semua antara muka, yang lebih luas daripada yang dimaksudkan kebanyakan orang apabila mesin juga mempunyai alamat awam; 10.64.7.15:8443 ialah versi sempit yang hanya mendengar di tempat rakan sekerja boleh sampai. Perhatikan juga nama proses dalam output yang sama, kerana contoh tinggalan daripada ujian terdahulu ialah punca biasa port kelihatan terbuka dan menjawab dengan kandungan yang salah.
Kemudian tanya sama ada apa-apa boleh menghalakan ke alamat itu
Alamat terowong hanya bermakna bagi rakan sebaya yang dikonfigurasikan untuk menghantar awalan itu ke dalam terowong. Mesin rakan sekerja mempunyai jadualnya sendiri, dan jika tiada laluan ke subnet terowong, paket pergi ke get laluan lalai dan mati di tempat yang tidak tahu alamat itu wujud. Ini persoalan penghalakan di pihak pemanggil, bukan kebenaran di pihak anda.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Pelayan antara dua klien juga sama penting. Dalam reka bentuk akses jauh biasa, setiap klien membuka sambungan keluar ke get laluan dan get laluan menyimpan keadaan aliran itu, jadi jawapan kembali melalui laluan yang sudah dikenalnya. Sambungan dari satu klien ke klien lain ialah aliran baharu yang perlu diterima dan diteruskan oleh get laluan, dan banyak penggunaan mematikannya dengan sengaja untuk memastikan klien terasing antara satu sama lain. Perkhidmatan VPN pengguna biasanya mengasingkan secara lalai; get laluan korporat kadangkala membenarkannya mengikut kumpulan.
Semak arah sebelum mengubah apa-apa pada hos. Jika alamat terowong menjawab dari get laluan itu sendiri tetapi tidak dari rakan sebaya, perbezaannya ialah tetapan klien-ke-klien get laluan, dan tiada penyuntingan tembok api setempat boleh menggantikannya.
Akhir sekali, cari dasar yang membenarkan aliran
Tiga lapisan dasar terletak antara paket yang dihalakan dan perkhidmatan yang menjawab: keputusan penghantaran pelayan VPN, tembok api hos, dan mana-mana kumpulan keselamatan awan di hadapan contoh. Ketiga-tiganya mesti bersetuju, dan ia gagal dengan cara berbeza, sebab itu simptom dalam jadual di atas lebih berguna daripada mesej ralat dalam pelayar.
Tembok api hos ialah lapisan yang orang lupakan selepas pengikatan berjaya, kerana peraturan yang membenarkan port pada antara muka LAN tidak membenarkannya secara automatik pada antara muka terowong. Peraturan terhad antara muka ialah reka bentuk yang betul dan juga punca biasa perkhidmatan yang berfungsi dari pejabat tetapi tidak dari rumah. Baca skop peraturan itu, bukan nombor portnya.
Penapisan stateful menjelaskan kes sebaliknya. Sambungan keluar dari komputer riba anda mencipta keadaan, dan jawapannya diterima tanpa peraturan masuk. Sambungan rakan sekerja ialah aliran yang benar-benar baharu tanpa keadaan di belakangnya, jadi ia memerlukan kebenaran nyata. Asimetri itulah seluruh sebab sesi pelayar yang berfungsi pada mesin anda sendiri tidak mengatakan apa-apa tentang sama ada perkhidmatan itu boleh dicapai dari luar.
Apabila satu pemeriksaan gagal, ubah reka bentuk dan bukan terowong
Jika keperluannya ialah rakan sekerja membuka perkhidmatan setempat anda, jawapan jujurnya biasanya mekanisme yang dibina untuk akses masuk. Terowong SSH terbalik ialah yang terkecil: mesin anda bersambung keluar ke hos yang sudah boleh dicapai oleh rakan sekerja, dan pendengar wujud pada hos itu.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Geganti memerlukan GatewayPorts clientspecified dalam konfigurasi pelayan SSH-nya, jika tidak pendengar yang diteruskan mengikat ke loopback pada geganti dan rakan sekerja menghadapi penolakan yang sama seperti sebelum ini. Untuk apa-apa yang bertahan lebih lama daripada satu petang, pengimbang beban atau ingress dengan pemeriksaan kesihatan dan sijil untuk nama yang diterbitkan ialah alat yang lebih baik, dan terowong tapak-ke-tapak dengan laluan untuk kedua-dua subnet ialah jawapan yang betul apabila dua rangkaian benar-benar perlu bercakap.
Setiap reka bentuk itu menjadikan pendedahan itu eksplisit, dan itulah intinya. VPN memindahkan paket antara rangkaian yang anda sudah dibenarkan gunakan; ia tidak menerbitkan perkhidmatan dan tidak mengubah komputer riba menjadi hos yang menghadap internet. Tugasnya ialah memutuskan lapisan mana antara tiga itu untuk diubah, dan terowong jarang menjadi salah satunya.