Għaliex server wara klijent VPN iwieġeb mill-mina

Konnessjonijiet deħlin lejn host li jħaddem ukoll klijent VPN ifallu b'mod speċifiku ħafna: l-handshake jasal, id-daemon iwieġeb, u l-klijent ma jirċievi xejn lura. Xejn ma jimblokka l-port. It-tweġiba ħarġet mill-mina, għax il-mina għandha r-rotta default u l-kernel jirrotta t-tweġibiet skont id-destinazzjoni, mhux skont il-memorja ta' minn fejn ġiet it-talba. Dik l-ommissjoni waħda tispjega kull sintomu li jsegwi.

It-tweġiba tiġi rrotta, mhux imfakkra

Klijent VPN li jinstalla rotta default iżid entrata li taqbeż il-gateway LAN, jew bil-metrika jew billi jaqsam l-ispazju f'żewġ nofsijiet aktar speċifiċi. Il-pakketti ħerġin issa jagħżlu l-interface tal-mina. Il-kernel qatt ma jistaqsi minn fejn wasal oriġinarjament il-pakkett li qed jiġi mwieġeb. Dik l-ommissjoni waħda tispjega kull sintomu li jsegwi.

Id-direzzjoni 'l quddiem tiġi rrotta skont id-destinazzjoni, u hekk ukoll dik lura. It-tweġiba hija indirizzata lil klijent pubbliku, li l-mina se ġġorr bil-pjaċir. It-tarf imbiegħed jirċievi pakkett li s-sors tiegħu mhuwiex tiegħu, jarmih, u l-klijent oriġinali jistenna sakemm jiskadi l-ħin.

Iffiltrar strett tat-triq lura jista' jwarrab il-pakkett deħel qabel id-daemon saħansitra jaqrah. Iċċekkja dak il-kontatur l-ewwel, għax waqgħa mill-filtru u żball ta' routing jidhru l-istess minn barra.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

L-ewwel kmand juri liema rotta default qed tirbaħ bħalissa. It-tieni jirrapporta jekk l-iffiltrar strett japplikax globalment jew għal kull interface, u t-tielet juri kwalunkwe regola tal-katina tal-forwarding li tista' tkun involuta.

Tliet modi kif tinżamm it-triq tar-ritorn

L-esklużjoni tad-destinazzjoni tas-servizz mill-mina hija l-aktar għażla dejqa. Rotta tal-host diretta lejn il-gateway LAN, flimkien ma' daemon marbut mal-indirizz fiżiku minflok ma' kull indirizz, iżżomm dak il-fluss wieħed barra mill-mina. Il-bidla hija lokali u faċli biex titwaqqaf.

Ir-routing tal-politika huwa t-tweġiba ġenerali. Regola msejsa fuq l-indirizz tas-sors jew fuq marka tal-firewall tagħżel tabella li r-rotta default tagħha tipponta lejn il-gateway WAN, filwaqt li l-konnessjonijiet tal-host stess ikomplu jużaw il-mina. Żomm il-prijorità espliċita sabiex ir-regola ma tiġix mgħottija aktar tard.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

L-ewwel żewġ kmandi jibnu t-triq alternattiva għat-tweġibiet li joriġinaw mill-indirizz pubbliku. It-tielet jistaqsi lill-kernel liema triq dawk is-sors u destinazzjoni eżatti jieħdu, u hekk tikkonferma li r-regola għandha xi effett.

It-traduzzjoni tas-sors hija t-tielet għażla u l-unika li tibqa' ħajja quddiem router li diġà jagħmel NAT quddiem is-servizz. It-tweġiba trid tirritorna lil dak ir-router, u l-maskerading lejn l-interface WAN jikseb dan filwaqt li jaħbi lill-klijent mil-logs tas-servizz. Is-sostituzzjoni manwali tar-rotta default wara l-konnessjoni hija dijanjostika, għax il-klijent jerġa' jikteb it-tabella fl-erja konnessjoni li jmiss.

Meta l-kaxxa tirrotta wkoll għal LAN

L-istess falliment jidher hop wieħed aktar 'il bogħod meta l-host jirrotta għall-apparati warajh. Konnessjoni deħla tiġi mgħoddija lil apparat intern li l-unika triq tar-ritorn tiegħu hija l-mina, u t-tweġiba tasal għall-klijent estern mill-indirizz tal-fornitur. L-apparat intern jaħdem sew il-ħin kollu.

Imbagħad it-traċċar tal-konnessjonijiet jara tweġiba għal fluss li qatt ma rreġistra u jarmiha. It-traduzzjoni tad-destinazzjoni twassal il-konnessjoni deħla lill-apparat, u t-traduzzjoni tas-sors tagħmel it-tweġiba tidher bħallikieku ġejja mir-router innifsu.

Rotta tal-politika li żżomm il-port mgħoddi fuq il-WAN filwaqt li t-traffiku tal-router stess juża l-mina hija l-ekwivalenti aktar nadifa. Mingħajr traduzzjoni tas-sors it-tweġiba hija indirizzata lill-klijent estern, u l-apparat intern m'għandu l-ebda rotta għal dak l-indirizz.

Tliet provi li jifirdu l-kawżi

Mexxi tliet provi: konnessjoni fil-kaxxa mill-internet, konnessjoni minnha lejn host pubbliku, u tiftixa ta' isem. Meta l-ewwel tnejn ma jaqblux, it-triq tar-ritorn hija ħatja. Meta l-ismijiet ifallu fiż-żewġ direzzjonijiet, is-solver huwa difett ieħor li biss jaqsam il-mina.

Iffissa l-kwistjoni tar-routing l-ewwel, imbagħad ħares lejn l-ismijiet. Li tħallat it-tnejn huwa kif server li jaħdem jiġi akkużat għal solver miksur.

Irreġistra liema interface jismi l-eċċezzjoni u żomm il-konfigurazzjoni taħt kontroll tal-verżjoni. Regola miktuba kontra interface li jiġi msemmi mill-ġdid wara aġġornament tgħaddi llum u tfalli wara r-restart li jmiss.