Is-server tal-web jisparixxi meta l-klijent VPN jgħaqqad

Servizz li jisparixxi fil-mument li jgħaqqad klijent VPN normalment mhux imblukkat, huwa jwieġeb mill-interface ħażina. It-talba tasal fuq il-karta tan-netwerk fiżika, id-daemon jikteb tweġiba, u t-tabella tar-routing tgħaddi dik it-tweġiba lit-tunnel, għax it-tunnel ħa f'idejh ir-rotta default. Il-klijent imbiegħed qatt ma jara tweġiba għal konnessjoni li fetaħ, għalhekk jistenna u mbagħad jirrapporta timeout. L-ebda regola tal-firewall ma hija involuta imkien f'dik is-sekwenza.

Is-sintomu: talbiet ġewwa, tweġibiet barra mill-bieb ħażin

Il-marka hija konnessjoni deħla li tfalli waqt li kull ħaġa oħra fuq il-host taħdem. Marka oħra hija host li jintlaħaq mill-LAN iżda mhux mill-internet, jew wieħed li jaħdem sakemm it-tunnel jerġa' jgħaqqad u mbagħad jieqaf. F'kull każ id-direzzjoni 'l quddiem imġiet tajjeb u dik tar-ritorn le, li tindika asimetrija fir-routing u mhux politika.

Ikkonferma dan billi tosserva fejn tmur it-tweġiba, mhux billi tosserva kif tasal it-talba.

Aqbad fl-istess ħin fuq l-interface fiżika u fuq it-tagħmir tat-tunnel. Jekk it-talba tidher fuq l-interface fiżika u t-tweġiba tidher fuq it-tunnel, id-dijanjosi hija kompluta. Tweġiba li ma tidher imkien tfisser li s-servizz qatt ma aċċetta l-konnessjoni, li hija investigazzjoni separata b'kawża separata.

Żewġ rotot default u deċiżjoni waħda tar-routing

Klijent li jinstalla rotta default iżid it-tieni entrata b'metrika aħjar minn dik tal-gateway tal-LAN. Xi klijenti jinstallaw minflok żewġ rotot ta' nofs firxa, li jkopru l-istess spazju b'mod aktar speċifiku u jirbħu t-tfittxija bl-istess mod. Iż-żewġ tekniki jħallu l-pakketti normali li joħorġu jagħżlu l-interface tat-tunnel.

Dik l-għażla ssir mid-destinazzjoni biss. Il-qalba ma tistaqsix minn fejn ġie pakkett sakemm regola tal-politika ma tordnalhiex. Għalhekk it-tweġiba għal indirizz pubbliku tal-klijent tingħata lit-tunnel, li t-tarf imbiegħed tiegħu jirċievi pakkett b'indirizz tas-sors li mhuwiex tiegħu u jarmih jew jgħaddih f'post inutli. Fuq Linux, filtrazzjoni stretta tal-passaġġ invers tista' wkoll tarmi t-talba oriġinali qabel ma s-servizz tiegħek jaraha, li minn barra jidher identiku. Iż-żewġ sintomi ġejjin mill-istess assoċjazzjoni neqsin bejn fluss deħel u t-tweġiba tiegħu.

It-tunnel iġib ruħu tajjeb matul kollox. Ngħatalu li jġorr ir-rotta default u jagħmel eżattament dan.

Sejwi l-passaġġ tar-ritorn mingħajr ma tkisser it-tunnel

Jeżistu tliet forom dejjiema ta' tiswija, u l-għażla tiddependi minn kemm mit-traffiku tal-host stess għandu jibqa' ġewwa t-tunnel. L-esklużjoni tad-destinazzjoni jew tal-port tas-servizz hija l-iżgħar bidla. Ir-routing tal-politika skont is-sors jew il-marka huwa l-aktar preċiż. It-traduzzjoni tas-sors hija l-aktar goffa u l-aktar faċli li tiġi spjegata sentejn wara.

Agħżel skont dak li għandu jagħmel il-host, mhux skont liema silta sibt l-ewwel.

L-esklużjoni ta' destinazzjoni taqbel ma' servizz b'indirizz pubbliku stabbli, u li d-daemon jingħata l-indirizz fiżiku minflok kull indirizz jagħmel dik l-esklużjoni aktar sigura. Regola tal-politika li tagħżel tabella skont is-sors iżżomm il-konnessjonijiet tal-host stess ġewwa t-tunnel waqt li tirritorna t-tweġibiet tas-servizz mill-gateway WAN. L-immarkar tat-tweġibiet fuq l-interface WAN jasal għall-istess passaġġ bi prezz li l-indirizz tal-klijent jinħeba mil-logs tas-servizz. Bidla ad hoc fir-rotta default hija dijanjożi u mhux konfigurazzjoni, għax il-klijent jerġa' jikteb ir-rotot f'kull rikonnessjoni.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Meta l-host jagħmel routing ukoll għal LAN warajh

Qabża waħda iktar 'il barra, l-istess asimetrija terġa' lura b'aktar partijiet li jiċċaqilqu. It-traffiku jasal għar-router mill-internet, jiġi mgħoddi lil apparat intern, u l-uniku passaġġ lura ta' dak l-apparat huwa t-tunnel, għalhekk it-tweġiba tasal għall-klijent oriġinali mill-indirizz tal-fornitur stess. Imbagħad it-traċċar tal-konnessjonijiet jiltaqa' ma' tweġiba għal fluss li ma rahx jibda, u jarmiha. Il-klijent sadanittant ma jara xejn affattu.

Żewġ bidliet jsejwuh: traduzzjoni tad-destinazzjoni biex il-konnessjoni deħla tasal għall-apparat intern, u traduzzjoni tas-sors biex it-tweġiba ta' dak l-apparat tidher li ġejja mir-router stess.

Fil-firmware tar-router l-espressjoni tas-soltu hija regola tal-politika li torbot il-port-forwarding man-naħa WAN waqt li t-traffiku tar-router stess jivvjaġġa fuq it-tunnel. Mingħajr traduzzjoni tas-sors, dik it-tweġiba hija indirizzata lill-klijent estern u l-apparat intern sempliċement m'għandux rotta lejha. Ittestja tliet affarijiet separatament, għax ifallu għal raġunijiet differenti: konnessjoni li tiġi minn barra, waħda li l-host innifsu jibda, u tfittxija tal-isem.