Klijent VPN fuq is-server tal-web tiegħek ikisser it-tweġibiet tiegħu?

Is-sit jgħabbi minn laptop fuq l-istess netwerk u jiskadi mill-ħin minn kullimkien ieħor, u l-host qed iħaddem ukoll klijent VPN għat-traffiku tiegħu li joħroġ. Dak il-kombinament jipproduċi falliment speċifiku: il-konnessjoni li tidħol tasal, it-tweġiba toħroġ mill-passaġġ żbaljat, u l-klijent barra qatt ma jara tweġiba. Iż-żewġ nofsijiet jidhru fl-istess qbid ta' pakketti, għalhekk l-ordni tal-avvenimenti huwa l-parti li tiswa li tinqara.

Regola ta' routing ibbażata fuq is-sors spiss tissewwi s-sintomu. Hija wkoll normalment teżenta iktar traffiku mis-sit li wassalha, u dik hija l-parti li tiswa li tinftiehem qabel ma ssalva r-regola.

Is-sintomu: tweġib lokalment u mhux minn barra

Ġewwa n-netwerk it-tweġiba m'għandhiex bżonn taqsam il-mina, għalhekk il-paġna tgħabbi u s-servizz jidher f'saħħtu. Minn barra t-talba tasal sal-host u t-tweġiba tiġi rrutata fil-VPN, fejn it-tarf imbiegħed m'għandu l-ebda raġuni biex jaċċettaha. Il-browser jara skadenza minflok rifjut, li hija l-firma ta' passaġġ f'direzzjoni waħda u mhux ta' port magħluq.

Ikkonferma l-forma qabel ma tbiddel ir-routing: is-semmiegħ qed jaħdem, it-talba lokali tirnexxi, u t-talba esterna ma tipproduċi l-ebda tweġiba. Dawn it-tliet osservazzjonijiet flimkien jindikaw il-passaġġ tar-ritorn u mhux il-konfigurazzjoni tas-server tal-web. Asimmetrija daqshekk nadifa hija iktar utli minn kwalunkwe linja tal-log, għax teskludi lis-semmiegħ qabel ma taqra saħansitra messaġġ ta' żball wieħed.

Żomm passaġġ amministrattiv indipendenti miftuħ waqt li taħdem. Regola li tkisser is-sessjoni SSH tiegħek stess tibdel tiswija ta' għaxar minuti f'żjara fiżika.

X'inhu li verament jaqbel miegħu selettur tas-sors

Fir-routing tal-politika ta' Linux, regola bħal from 192.168.50.2 taqbel ma' pakketti li s-sors tagħhom huwa dak l-indirizz. Ma tikkodifikax il-fatt li l-pakkett qed ikompli konversazzjoni li daħlet mir-router tad-dar, u ma tafx liema proċess ħoloqha. L-indirizz f'dak l-eżempju huwa illustrattiv; ibdelh bl-indirizz li l-host tiegħek verament juża. Ittratta l-linja bħala dikjarazzjoni dwar l-indirizzi u xejn iktar.

Jekk it-tabella magħżula tipprovdi rotta default ordinarja, kull pakkett li jġorr dak is-sors jista' jieħu l-istess eċċezzjoni. Servizz ieħor marbut mal-istess indirizz jirtiha, u applikazzjoni li tgħaqqad ruħha apposta ma' dak l-indirizz tirtiha wkoll. Ir-referenza tar-regoli tal-politika telenka sors, destinazzjoni, protokoll, port, marka u prijorità bħala seletturi separati, li jfakkar li s-sors waħdu huwa l-iktar wieħed oħxon disponibbli.

Il-prijorità tiddeċiedi r-riżultat. It-tiftixiet jimxu fl-ordni u l-ewwel tabella li tagħti riżultat tista' ttemm it-tiftixa, għalhekk regola mqiegħda wisq kmieni tista' taħbi rotta iktar speċifika li tabella iktar tard kienet tipprovdi. Aqra l-lista ordnata kollha minflok il-linja waħda li żidt. Regola li qatt ma taqbel ma tiswa xejn, filwaqt li waħda li taqbel wisq kmieni tbiddel kollox warajha bil-kwiet.

Iċċekkja l-passaġġ tar-ritorn u t-traffiku li ma ħsibtx fih

Aqra r-regoli u t-tabelli, imbagħad staqsi lill-kernel liema rotta tieħu par partikulari ta' sors u destinazzjoni. L-ittestjar mill-host innifsu mhuwiex l-istess bħall-ittestjar minn barra, għalhekk agħmel it-tnejn.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Imbagħad aċċetta konnessjoni esterna ġdida u, separatament, talba li xorta trid toħroġ mill-VPN. Jekk it-tieni waħda issa toħroġ direttament, l-eċċezzjoni hija usa' mill-problema li kont qed issolvi, u l-prova li tiswa hija dik li ma kontx beħsiebek tbiddel.

Verifika tal-indirizz pubbliku fil-browser tirrapporta biss it-talbiet li għamel dak il-browser. Ma tgħid xejn dwar it-tweġibiet tas-server tal-web, dwar l-għażla tas-sors ta' applikazzjoni lokali oħra, jew dwar x'jiġri mit-traffiku amministrattiv wara l-konnessjoni mill-ġdid tal-VPN li jmiss.

Iddeċiedi kemm tista' tkun dejqa l-eċċezzjoni

Żewġ disinji huma difendibbli u għandhom jintgħażlu apposta. Jekk il-host jeżisti biex jippubblika dan is-servizz u t-traffiku tiegħu li joħroġ mhuwiex importanti, indirizz lokali dedikat b'politika għall-WAN biss huwa arranġament raġonevoli sakemm taċċetta l-iskop kollu. Jekk għandhom jikkwalifikaw biss konnessjonijiet li jidħlu partikulari, l-għażla tal-indirizz hija wisq oħxon u quddiemha għandu jkun hemm disinn konxju tal-konnessjonijiet.

Irreġistra l-kuntratt li qed tistrieħ fuqu: il-mapping pubbliku, l-indirizz tal-host li lilu tiġi kkonsenjata t-talba, u l-passaġġ li t-tweġiba hija mistennija tieħu. Servizz li jidħol ippubblikat permezz ta' fornitur VPN huwa kuntratt differenti minn wieħed ippubblikat permezz ta' router tad-dar, u eċċezzjoni kkopjata minn eżempju wieħed spiss tkun żbaljata għall-ieħor.

Żomm il-politika fil-komponent li jippossjedi r-routing minflok ma tpejjep kmand f'fajl tal-bidu. L-ordni tar-regoli, it-tindif wara bidla fin-netwerk u t-tirjieħ mill-ġdid wara l-istartjar mill-ġdid kollha jridu jgħaddu, u fajl tal-bidu mhux ittestjat normalment ifalli fil-mument li ma tkunx qed tħares. Temm bir-riżultat tal-aċċettazzjoni li tista' tiddefendi: sit ippubblikat wieħed restawrat u fluss mhux relatat wieħed mhux mibdul.