Il-gateway jospita l-paġna tal-amministrazzjoni tiegħu stess: indirizz intern jew pubbliku

Paġna tal-amministrazzjoni twieġeb minn telefon fuq data mobbli u tispiċċa b'timeout minn laptop imqabbad mal-VPN. Xejn fit-tunnel mhu miksur, għax it-talba qatt ma tidħol fih. L-isem tal-host jiġi riżolt għall-indirizz pubbliku tal-gateway, u dak l-indirizz jintlaħaq biss minn barra t-tunnel li huwa jtemm. Li tiffissah ifisser li tagħti s-servizz daħla privata, mhux li ċċaqlaq il-punt tat-tarf ta' barra.

Il-paġna tgħabbi minn barra u mhux mit-tunnel

Qed jiġu mqabbla żewġ talbiet differenti. Minn data mobbli l-browser jilħaq l-indirizz pubbliku direttament. Minn ġewwa t-tunnel l-istess isem jiġi riżolt għall-istess indirizz pubbliku, u l-pakkett issa jrid joħroġ mit-tunnel biex jilħaq indirizz fuq in-naħa l-bogħoda tat-tunnel innifsu. L-istess isem, l-istess indirizz, żewġ pożizzjonijiet ferm differenti.

Rotta tad-destinazzjoni tagħżel indirizz, mhux port. Xejn fit-tabella tar-routing ma jaf li l-port 443 huwa għall-amministrazzjoni u l-port 1194 huwa t-trasport, għalhekk it-tnejn jiġu trattati bħala l-istess destinazzjoni.

Huwa għalhekk li l-paġna xi drabi taħdem u xi drabi le, skont liema isem u liema netwerk uża l-klijent. Hija problema ta' mogħdija u mhux problema ta' awtentikazzjoni. Iż-żewġ klijenti jawtentikaw tajjeb ħafna.

Żomm il-punt tat-tarf ta' barra jintlaħaq

Il-profili tat-tunnel sħiħ jeħtieġu rotta ta' eċċezzjoni għall-punt tat-tarf tal-VPN, u l-għażla redirect-gateway tal-OpenVPN tiddokumenta eżattament dan: il-punt tat-tarf imbiegħed iżomm rotta mill-gateway li kien diġà hemm biex it-tunnel ma jirrotax fih innifsu. Neħħi dik l-eċċezzjoni u t-trasport ikkriptat isegwi t-tunnel, li jtemm is-sessjoni f'linja. Dik l-eċċezzjoni hija r-raġuni għaliex l-indirizz tal-punt tat-tarf jibqa' jintlaħaq minn ġewwa t-tunnel.

Il-konsegwenza hija li l-indirizz pubbliku jibqa' jintlaħaq mill-klijent, u għalhekk talba tal-browser għal dak l-indirizz tista' ssegwi l-istess eċċezzjoni u toħroġ mingħajr ma tidħol fit-tunnel. L-eċċezzjoni qed tagħmel xogħolha, u l-isem qed jagħmel il-ħsara.

Aqra d-deċiżjoni tar-rotta u mhux il-lista tal-interfaces qabel ma tbiddel xi ħaġa. Il-kmandi hawn taħt jipprintjaw id-deċiżjoni u mhux l-inventarju. Mexxihom mill-klijent li falla.

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

Jekk it-tfittxija turi r-rotta tal-punt tat-tarf mill-gateway fiżiku, l-imġiba hija korretta u l-paġna tal-amministrazzjoni sempliċement qed tintbagħat fit-triq ħażina. Hemmhekk ir-riżoluzzjoni tal-ismijiet issir is-sewwa.

Agħti lis-servizz isem privat

Is-servizz jeħtieġ isem li jiġi riżolt għall-indirizz tal-gateway ġewwa t-tunnel, filwaqt li tinżamm is-semantika taċ-ċertifikat u tal-isem tal-host li tistenna l-applikazzjoni. Rekord taż-żona privat għall-isem tal-amministrazzjoni huwa t-tweġiba tas-soltu, u jħalli l-isem tat-trasport ma jintmessx.

Tidderiġix l-isem tat-trasport lejn l-indirizz intern, għax it-twaqqif tat-tunnel li jmiss imbagħad jipprova jilħaq indirizz li jeżisti biss ġewwa tunnel. Dak l-iżball jipproduċi VPN li jaħdem eżattament darba.

Iċċekkja ż-żewġ familji tal-indirizzi wkoll, għax rekord AAAA li jitħalla warajh jista' jibgħat il-browser fejn il-pjan privat qatt ma wasal.

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

Qabbel il-politika ma' fejn jaħdem il-proċess

Proċess nattiv li qed jisma' fuq il-gateway jintlaħaq mill-mogħdija tal-input lokali, għalhekk il-katina tal-input u l-irbit tas-socket jiddeċiedu jekk it-talba tintlaqax. Ir-regoli tal-forwarding u l-forwarding tal-IP ma jagħmlux widener lokali jwieġeb. Ħalli s-sorsi tat-tunnel fil-politika tal-input u kkonferma li l-proċess huwa marbut ma' indirizz li t-tunnel jista' jilħaq.

Kontenitur ippubblikat fuq port tal-host isegwi mogħdija differenti, għax il-pakkett jiġi tradott skont id-destinazzjoni u mibgħut 'il quddiem. Dik it-talba tiltaqa' mal-politika tal-forwarding tal-host u mar-regoli tal-Docker stess, u għalhekk widener nattiv li jaħdem jista' jikkoeżisti ma' kontenitur li jirrifjuta l-istess port.

L-ordni tat-tnedija hija importanti fiż-żewġ każijiet, għax irbit ma' indirizz li jidher biss wara li jogħla t-tunnel ifalli bil-kwiet waqt il-boot.

Iċċekkja aċċess privat u mogħdija pubblika miċħuda

Agħmel talba ġdida bl-isem minn klijent awtorizzat bl-verifiki tal-identità tal-applikazzjoni stess intatti. Imbagħad ipprova l-istess servizz minn barra t-tunnel u kkonferma li ma jwiġibx. Isem privat huwa kumdità u mhux restrizzjoni, u widener li għadu marbut mal-indirizz pubbliku għadu espost. Dik il-verifika tal-aħħar hija dik li ħafna reviżjonijiet jaqbżu.

Aqra l-irbit u l-istat tal-filtru u mhux l-isem tal-host li ngħata lill-utenti. L-espożizzjoni hija proprjetà tas-socket u mhux tal-isem. Dik id-distinzjoni tibqa' għaddejja minn kull bidla fid-DNS.

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

Meta t-talba interna tirritorna l-paġna u t-talba esterna tispiċċa b'timeout, is-servizz għandu mogħdija privata waħda deliberata u t-trasport jibqa' jintlaħaq. Meta t-talba esterna għadha twieġeb, il-widener jew entrata ta' kontenitur ippubblikata jridu jiġu ristretti qabel ma xi ħadd jiddeskrivi s-servizz bħala intern biss.