Għaliex il-klijenti ta’ Access Server mhumiex aċċessibbli mil-LAN

Il-laptop jgħaqqad, il-mina hija attiva, u t-talbiet lejn servizz intern jiddendlu waqt il-qbil. Fis-servizz innifsu t-talba tasal minn indirizz bħal 10.90.0.25, it-tweġiba toħroġ lejn il-gateway awtomatiku, u xejn ma jiġi lura, għax dak il-gateway m’għandu l-ebda idea fejn jinsab 10.90.0.25. Mit-tarf l-ieħor l-istess ħsara tidher bħala host intern li ma jistax jagħmel ping lil klijent imqabbad. It-tnejn huma oġġett wieħed nieqes: rotta lura lejn il-pool tal-klijenti VPN, li tista’ żżidha biss in-netwerk privat.

Aqra l-indirizz tas-sors li jara s-servizz

Dak il-qasam wieħed jiddeċiedi kollox l-ieħor. Jekk is-servizz intern jara l-indirizz tal-pool, Access Server qed jirrutja minflok ma jaħbi t-traffiku tal-klijenti, u kull tweġiba trid tiġi rrutjata lura lejn il-pool. Jekk minflok jara l-indirizz privat tas-server stess, is-server qed jagħmel masquerade u t-triq lura diġà taħdem, iżda bi prezz li jintilef kull identità ta’ kull klijent fil-logs u fir-regoli tal-aċċess tas-servizz.

Qabbel iż-żewġ trufijiet qabel ma tbiddel xi ħaġa. Fuq is-server, elenka l-interfaces tal-mina u l-indirizzi tagħhom; fuq il-klijent, ikkonferma liema minn dawk l-indirizzi tassew għandu; fuq il-host intern, ħares lejn konnessjoni attiva.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

L-aħħar kmand huwa dak li jonqos fil-każ miksur: jew jirraporta l-prefiss tal-mina bħala mhux aċċessibbli jew, agħar minn hekk, irodd lura l-gateway awtomatiku tiegħek, u hekk it-tweġibiet jispiċċaw fuq l-internet.

Tassumix li hemm pool wieħed biss. Server jista’ jkollu firxa dinamika flimkien ma’ mappings statiċi għal kull utent, u l-indirizz statiku jista’ jkun għal kollox barra mill-prefiss dinamiku. Jekk tirrutja biss il-firxa li tiftakar, l-utenti b’indirizzi fissi jibqgħu miksura u kulħadd ieħor jirraporta li l-problema hija solvuta.

Żid ir-rotta fejn tiġi deċiża t-tweġiba

Ir-rotta tappartjeni lill-gateway li s-servizz intern diġà juża, mhux lis-servizz, sakemm is-servizz ma jirrutjax it-traffiku tiegħu stess. Indikaha lejn l-indirizz privat aċċessibbli ta’ Access Server, li huwa valur differenti mill-indirizz tal-mina li għandu l-klijent.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

F’netwerk tal-cloud l-istess dikjarazzjoni ssir entrata fit-tabella tar-rotot li l-mira tagħha hija l-instanza jew l-interface tan-netwerk li fuqha jaħdem is-server, b’verifika tas-sors u tad-destinazzjoni mitfija fuq dik l-interface. Innota x’ma tagħmilx dik l-entrata: rotta mhijiex għotja ta’ aċċess, allura l-gruppi tas-sigurtà, l-ACLs tan-netwerk u l-firewall tal-host xorta jridu jippermettu t-traffiku.

Agħmilha persistenti, u żomm id-daqsijiet tal-pools onesti. Żewġ pools mhux konsekuttivi jeħtieġu żewġ rotot, u pool li jikber lil hinn mill-prefiss konfigurat tiegħu jipproduċi bil-kwiet klijenti li t-tweġibiet tagħhom m’għandhom imkien fejn imorru. Jekk tikkontrolla l-firxiet tal-pools, agħżel deskrizzjoni sommarja li tista’ tirrutja darba u tħalliha.

It-tranżitu u l-filtri għandhom jaqblu mar-rotta

Ir-rotot hija biss nofs it-triq. Is-server irid ikun permess jgħaddi bejn il-mina u l-interface privat, li f’Linux ifisser net.ipv4.ip_forward flimkien ma’ katina ta’ tranżitu li tippermetti l-par ta’ interfaces, u fuq host imsaħħaħ normalment regola espliċita għal kull direzzjoni.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Il-filtrazzjoni bi stat tispjega sintomu li jwassal lin-nies fit-triq ħażina. Tweġiba ġewwa fluss stabbilit ma teħtieġx regola ġdida tad-dħul, allura konnessjoni li tiddendel wara s-SYN-ACK mhijiex qed tiġi mblukkata minn regola ta’ aċċettazzjoni nieqsa; qed tiġi mwarrba jew irrutjata ħażin. Żomm dik id-distinzjoni, għax tifred bidla fir-rotot minn bidla fil-firewall.

It-toroq lura asimmetriċi huma l-verżjoni aktar kwieta tal-istess problema. Jekk żewġ rotot jilħqu l-pool u t-tweġiba tieħu dik li toħroġ minn interface differenti minn dik li fiha daħlet it-talba, il-filtrazzjoni stretta tat-triq lura twarrabha u l-fluss jonqos biss għal xi klijenti.

Rrutjat jew mħawwad: agħżel b’mod deliberat

Il-modalità rrutjata tippreserva l-indirizz tal-pool tal-klijent fis-servizz, li tagħmel possibbli r-reġistrazzjoni u l-politika għal kull klijent, u bħala skambju kull netwerk intern li jrid iwieġeb lil klijent jeħtieġ ir-rotta tal-pool. Il-modalità mħawda tneħħi dik il-ħtieġa għax it-tweġibiet jerġgħu lura lejn is-server, iżda s-servizz ma jistax jibqa’ jagħraf klijent minn ieħor u ma jistax jibda xejn lejn klijent speċifiku.

Li tbiddel dak l-imġiba fuq server li qed jaħdem taqta’ s-sessjonijiet eżistenti, allura ipprova l-ewwel b’klijent wieħed u fluss wieħed. Jekk il-bidla hija t-tweġiba t-tajba, hija deċiżjoni ta’ konfigurazzjoni fuq is-server, mhux xi ħaġa li tiġi evitata billi żżid rotot li jsiru bla bżonn.

Subnet wara l-klijent hija xogħol separat

Nilħaq apparat fuq il-LAN tal-laptop stess mhijiex l-istess bħal nilħaq l-indirizz tal-mina tal-laptop. Jeħtieġ li l-klijent jaġixxi bħala gateway tas-subnet: netwerk iddikjarat fuq in-naħa tal-klijent, tranżitu attivat fis-sistema operattiva tal-klijent, u rotta f’dak il-LAN lura lejn il-klijent. Li żżid rotta tan-netwerk privat għall-firxa tad-dar tal-laptop ma tagħmilx dan, u toħloq konflitti meta żewġ utenti jkollhom l-istess firxa tad-dar.

Id-direzzjoni hija wkoll kwistjoni ta’ politika. Il-permess lil klijent biex jiftaħ konnessjoni lejn servizz intern ma jippermettix awtomatikament lil host intern jiftaħ konnessjoni lejn dak il-klijent. Iċċekkja l-politika tal-aċċess tas-server u l-firewall tal-host tal-klijent qabel ma tikkonkludi li t-triq hija miksura.

Ivverifika b’fluss wieħed u qabda waħda

Ipprova t-triq b’konnessjoni waħda minflok test ġenerali ta’ aċċessibbiltà. Osserva l-istess fluss fiż-żewġ trufijiet: it-talba li tasal fis-servizz u t-tweġiba li tħallih.

tcpdump -ni any host 10.90.0.25 and port 443

Qabel il-korrezzjoni l-qabda turi t-tweġiba ħierġa lejn gateway li mhux se jirrutjaha. Wara l-korrezzjoni t-tweġiba toħroġ lejn is-server u l-fluss jitlesta. Imbagħad ikkonferma r-rotta li l-gateway juża għat-tieni indirizz tal-klijent, sabiex pool li ma koprejtx jidher issa u mhux wara ġimgħa.

Iffinalizza bl-erba’ verifiki li jagħlqu dan: l-indirizz tas-sors fis-servizz jaqbel mal-modalità li kellek f’moħħok, il-gateway għandu rotta lejn kull pool użat, it-tranżitu u l-filtri jippermettu ż-żewġ direzzjonijiet, u fluss reali wieħed jitlesta mit-tarf sat-tarf. Mistoqsijiet komuni dwar ir-rotot ta’ Access Server tistqarr l-istess prinċipju għall-verżjoni installata, li l-interface tal-konfigurazzjoni appoġġjata tagħha tista’ tvarja mill-gwidi anzjani.