Għaliex l-indirizz tat-tunnel VPN tiegħek ma jiftaħx port deħlin
Indirizz tat-tunnel jidentifika l-klijent tiegħek għal sħab li jistgħu jibdew ir-rotta lejh, u qatt ma joħloq semmiegħ. Iċċekkja l-irbit, ir-rotta tar-ritorn, imbagħad il-politika.
Qabbad mal-VPN tal-uffiċċju, ibda servizz żgħir fuq il-port 8443, ibgħat l-indirizz tat-tunnel lil kollega, u ara l-konnessjoni tfalli filwaqt li l-klijent għadu jirrapporta li huwa mqabbad. Xejn mhuwa miksur fit-tunnel: l-indirizz ingħata, is-sessjoni hija attiva, u l-pakketti li kellhom iġorru t-tweġiba sempliċement qatt ma jitħallew jgħaddu. Agħmel it-tliet verifiki hawn taħt fl-ordni u waqaf f'dik li tfalli, għax kull waħda għandha tiswija differenti u waħda biss minnhom għandha x'taqsam mal-VPN.
Ibda minn fejn is-socket huwa fil-fatt marbut
Qabel ma xi ħaġa tiġi ddirezzjonata, xi ħaġa trid tkun qed tisma' fuq indirizz li l-sejjieħ jista' jilħaq. Is-servers tal-iżvilupp huma l-ħati tas-soltu, għax ħafna minnhom jorbtu ma' loopback bħala default u jaċċettaw biss konnessjonijiet li joriġinaw mill-istess magna. Indirizz tat-tunnel ma jibdilx dak l-irbit, u s-sistema operattiva se tirrifjuta l-konnessjoni ħafna qabel ma l-VPN ikun involut.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Aqra l-kolonna tal-indirizz lokali u mhux l-istat. 127.0.0.1:8443 ifisser loopback biss, u t-tiswija hija rbit fuq 0.0.0.0 jew fuq l-indirizz tat-tunnel innifsu. 0.0.0.0:8443 jaċċetta fuq kull interface, li huwa usa' milli biħsieb ħafna nies meta l-magna jkollha wkoll indirizz pubbliku; 10.64.7.15:8443 hija l-verżjoni dejqa li tisma' biss fejn il-kollega jista' jasal. Innota wkoll l-isem tal-proċess fl-istess output, għax istanza mitlufa minn test preċedenti hija raġuni komuni għaliex il-port jidher miftuħ u jwieġeb b'kontenut ħażin.
Imbagħad staqsi jekk xi ħaġa tistax iddirezzjona lejn dak l-indirizz
Indirizz tat-tunnel għandu sens biss għal sħab li huma kkonfigurati biex jibagħtu dak il-prefiss fit-tunnel. Il-magna tal-kollega għandha t-tabella tagħha, u jekk m'għandhiex rotta lejn is-subnet tat-tunnel, il-pakkett imur għall-gateway default u jmut f'post li ma jafx li l-indirizz jeżisti. Din hija kwistjoni ta' routing fuq in-naħa tas-sejjieħ, mhux permess fuq naħtek.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Is-server bejn iż-żewġ klijenti huwa importanti daqstant ieħor. Fid-disinn tas-soltu tal-aċċess mill-bogħod kull klijent jiftaħ konnessjoni ħierġa lejn il-gateway u l-gateway iżomm l-istat ta' dawk il-flussi, sabiex it-tweġibiet jerġgħu lura minn triq li huwa diġà jaf. Konnessjoni minn klijent għal ieħor hija fluss ġdid li l-gateway irid jaċċetta u jgħaddi, u ħafna implimentazzjonijiet jitfuha apposta biex iżommu l-klijenti iżolati minn xulxin. Is-servizzi VPN tal-konsumatur normalment jiżolaw bħala default; il-gateways korporattivi xi drabi jippermettuh skont il-grupp.
Iċċekkja d-direzzjoni qabel tibdel xi ħaġa fuq il-host. Jekk l-indirizz tat-tunnel iwieġeb mill-gateway innifsu imma mhux minn sieħeb, id-differenza hija s-setting klijent-għal-klijent tal-gateway, u l-ebda editjar tal-firewall lokali ma jista' jissostitwiha.
Fl-aħħar, sib il-politika li tippermetti l-fluss
Tliet saffi ta' politika jinsabu bejn pakkett iddirezzjonat u servizz li jwieġeb: id-deċiżjoni tal-għoti tas-server VPN, il-firewall tal-host, u kwalunkwe grupp tas-sigurtà tal-cloud quddiem l-istanza. It-tlieta jridu jaqblu, u jonqsu b'modi differenti, għalhekk is-sintomu fit-tabella hawn fuq huwa aktar utli mill-messaġġ tal-iżball fil-browser.
Il-firewall tal-host huwa s-saff li n-nies jinsieh wara rbit b'suċċess, għax regola li tippermetti l-port fuq l-interface LAN ma tippermettihx awtomatikament fuq l-interface tat-tunnel. Regoli limitati għall-interface huma disinn korrett u wkoll ir-raġuni tas-soltu għal servizz li jaħdem mill-uffiċċju u mhux mid-dar. Aqra l-ambitu tar-regola, mhux in-numru tal-port tagħha.
Il-filtrazzjoni bl-istat tispjega l-każ oppost. Konnessjoni ħierġa mil-laptop tiegħek toħloq stat, u t-tweġibiet għaliha jitħallew jgħaddu mingħajr regola deħlin. Il-konnessjoni tal-kollega hija fluss kompletament ġdid mingħajr stat warajh, għalhekk jeħtieġ permess espliċitu. Dik l-asimetrija hija r-raġuni kollha għaliex sessjoni tal-browser li taħdem fuq il-magna tiegħek stess ma tgħid xejn dwar jekk is-servizz huwiex aċċessibbli minn barra.
Meta verifika waħda tfalli, ibdel id-disinn u mhux it-tunnel
Jekk ir-rekwiżit huwa li kollega jiftaħ is-servizz lokali tiegħek, it-tweġiba onesta normalment hija mekkaniżmu mibni għall-aċċess deħlin. Tunnel SSH maqlub huwa l-iżgħar: il-magna tiegħek tikkonnettja 'l barra ma' host li l-kollega diġà jista' jasal għalih, u s-semmiegħ jeżisti fuq dak il-host.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Ir-relay jeħtieġ GatewayPorts clientspecified fil-konfigurazzjoni tas-server SSH tiegħu, inkella s-semmiegħ mgħoddi jorbot ma' loopback fuq ir-relay u l-kollega jiltaqa' mal-istess rifjut bħal qabel. Għal kull ħaġa li ddum aktar minn wara nofsinhar, bilancer tat-tagħbija jew ingress b'verifika tas-saħħa u ċertifikat għall-isem ippubblikat huwa l-aħjar għodda, u tunnel minn sit għal sit b'rotot għaż-żewġ subnets hija t-tweġiba t-tajba meta żewġ netwerks verament iridu jitkellmu.
Kull wieħed minn dawn id-disinni jagħmel l-espożizzjoni espliċita, u dak huwa l-punt. VPN iċaqlaq pakketti bejn netwerks li diġà kont awtorizzat li tuża; ma jippubblikax servizz u ma jibdilx laptop f'host li jħares lejn l-internet. Il-kompitu huwa li tiddeċiedi liema mis-tliet saffi tibdel, u t-tunnel rari jkun wieħed minnhom.