Liema indirizz tas-sors se jirreġistra NGINX għal klijent VPN?

Iddeċiedi x'jara NGINX ħdejn OpenVPN fuq host wieħed: indirizz intern tat-tunnel, indirizz pubbliku tal-ħruġ jew peer mgħoddi, skont il-passaġġ li jsir.

Tliet indirizzi tal-klijent jidhru f'konfigurazzjoni ta' NGINX u OpenVPN fuq l-istess host, waħda għal kull passaġġ li tista' tieħu talba. Browser li jasal għall-indirizz tat-tunnel, browser li jasal għall-indirizz pubbliku u programm li joħroġ mit-triq tal-internet tal-gateway jidhru kollha differenti fis-sokit li qed jisma'. Iddeċiedi liema passaġġ qed tara qabel ma tinterpreta l-linja tal-log. Id-deċiżjoni tiddependi mid-destinazzjoni li uża l-klijent, mill-eċċezzjoni li għandu għall-punt tat-tmiem tal-VPN ta' barra, u minn jekk xi ħaġa tittraduċix il-pakkett fit-triq.

Iddeċiedi mid-destinazzjoni, mhux min hu l-utent

Ibda mill-indirizz li ntbagħtet lejh it-talba, għax dak l-indirizz jagħżel il-passaġġ. Talba għall-indirizz tat-tunnel tal-host tasal fuq l-interface tat-tunnel bl-indirizz intern tal-klijent bħala sors. Talba għall-indirizz pubbliku tal-host normalment tasal fuq l-interface li tħares lejn l-internet bl-indirizz pubbliku tal-klijent, anki meta l-istess laptop ikollu tunnel stabbilit f'dak il-mument. Għalhekk sħubija fil-pool tal-VPN hija proprjetà tal-passaġġ tal-pakkett, mhux proprjetà li ssegwi l-utent.

Path the request tookSource the site normally records
Client reaches the site at its tunnel address, 10.24.0.1Client inner address, 10.24.0.20
Client reaches another internet site through the gatewayGateway public egress address, 192.0.2.44
Client reaches the gateway's public address through the endpoint exceptionClient's own public access address

Din it-tielet ringiela hija dik li jiswa l-ħin tiċċekkja l-ewwel meta utent tal-VPN jidher fil-log b'indirizz li m'għandu xejn x'jaqsam mat-tunnel. Tispjega wkoll għaliex żewġ utenti fuq l-istess profil jistgħu jipproduċu entrati differenti: in-networks tal-aċċess tagħhom stess huma differenti, u xejn fit-tunnel ma jikteb fuq dan.

Għaliex il-punt tat-tmiem ta' barra joħloq it-tieni passaġġ pubbliku

Il-klijent irid jasal għall-indirizz pubbliku tal-gateway biex jistabbilixxi t-tunnel, għalhekk rotta lejn dak l-indirizz trid teżisti barra mit-tunnel. Meta klijent idawwar it-traffiku kollu 'l ġewwa, implimentazzjoni sensata żżomm rotta tal-host espliċita għall-indirizz pubbliku tas-server biex tevita tunnel li jiddependi minnu nnifsu. Dik l-eċċezzjoni mhijiex selettiva dwar is-servizzi, għalhekk kull talba għall-istess indirizz pubbliku ssegwiha, inkluża talba tal-browser għal sit ospitat fuq il-gateway.

Dan huwa l-mekkaniżmu wara l-biċċa l-kbira tar-rapporti konfużi f'dan il-qasam, u jiddependi mill-implimentazzjoni tal-klijent u mhux tas-server. Żewġ klijenti bi profili identiċi għalhekk jistgħu jġibu ruħhom b'mod differenti. Jekk tneħħi l-eċċezzjoni biex »ssewwi« l-log, it-tunnel jinżel magħha, għalhekk żommha u iddisinja madwarha.

Aqra s-sokit, it-tabella u l-format tal-log flimkien

Tliet osservazzjonijiet jiddeċiedu liema passaġġ qed tara: fejn jisma' s-sokit, liema interface twieġeb id-destinazzjoni u x'jirreġistra tassew il-format tal-log. Jekk is-semmiegħ huwa marbut biss mal-indirizz tat-tunnel, talba pubblika ma tistax tasal għalih xejn, u dan jeskludi żewġ ringieli minnufih. Jekk it-tfittxija għall-klijent tirritorna l-apparat tat-tunnel, it-talba waslet bi sors intern u l-log għandu juri dan.

ss -lntp 'sport = :443'
ip route get 10.24.0.20
ip route get 192.0.2.44

Imbagħad aqra l-format minflok il-linja. Qasam li jitma' minn intestatura mgħoddija jirreġistra talba, mhux peer tas-sokit, u t-talba tiswa biss meta l-peer immedjat ikun proxy affidabbli. Li tikteb iż-żewġ valuri fil-log issolvi argumenti aktar tard, għax il-peer immedjat u l-indirizz sostitwit huma fatti differenti u wieħed biss minnhom ġie min-network.

log_format tunneled '$remote_addr $realip_remote_addr $request $status';
grep -n 'log_format' /etc/nginx/nginx.conf

Agħżel il-punt tad-dħul li trid u agħmel id-DNS jaqbel

Jekk is-sit għandu jkun biss permezz tat-tunnel, agħtih isem li għall-klijenti tal-VPN jiġi riżolt għall-indirizz tat-tunnel u infurza l-politika fuq is-sokit li jisma'. Tweġiba DNS maqsuma li tirritorna 10.24.0.1 għall-isem intern hija deċiżjoni ta' routing liebsa bħala dettall ta' riżoluzzjoni tal-ismijiet. Jekk is-sit irid ikun pubbliku wkoll, żomm żewġ ismijiet jew żewġ ports u ħalli l-log jgħidlek liema waħda serviet it-talba.

Ir-regoli tal-permess isegwu l-istess loġika. Li tippermetti l-pool tat-tunnel ma jawtorizzax talba pubblika, u mhux se jimla indirizz intern fuq konnessjoni li waslet mill-internet. Li tħallat iż-żewġ punti tad-dħul taħt isem wieħed jagħmel is-sors irreġistrat effett sekondarju tar-routing tal-klijent minflok għażla tad-disinn.

Ivverifika l-passaġġ, imbagħad il-politika

Ikkonferma l-passaġġ b'qabda fuq il-gateway u b'talba li tikkontrolla int. Qabda fuq l-apparat tat-tunnel u waħda fuq l-interface pubblika juru liema waħda ġarret il-bytes, u l-ordni tal-pakketti tgħidlek jekk seħħitx traduzzjoni bejniethom.

tcpdump -ni tun0 port 443 -c 5
tcpdump -ni eth0 port 443 -c 5

Imbagħad ivverifika l-aċċess fiż-żewġ direzzjonijiet: il-punt tad-dħul bl-isem maħsub jaħdem għall-klijent maħsub, u passaġġ pubbliku mhux approvat jiġi miċħud minflok ma jkun biss bil-mod. Sit ġeneriku tal-echo tal-IP jipprova xi ħaġa dwar il-ħruġ tal-gateway lejn l-internet u xejn dwar dan is-sit fuq l-istess host. Meta paġna u WebSocket ma jaqblux, qabbel l-URLs tagħhom, il-familji tal-indirizzi u t-tweġibiet DNS qabel ma tmiss il-konfigurazzjoni tas-server.

Artikli relatati