ਗੇਟਵੇ ਆਪਣਾ ਹੀ ਐਡਮਿਨ ਪੇਜ ਹੋਸਟ ਕਰਦਾ ਹੈ: ਅੰਦਰਲਾ ਜਾਂ ਜਨਤਕ ਪਤਾ

ਐਡਮਿਨ ਪੇਜ ਮੋਬਾਈਲ ਡੇਟਾ ਵਾਲੇ ਫੋਨ ਤੋਂ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਅਤੇ VPN ਨਾਲ ਜੁੜੇ ਲੈਪਟਾਪ ਤੋਂ ਸਮਾਂ ਖ਼ਤਮ ਹੋ ਜਾਂਦਾ ਹੈ। ਸੁਰੰਗ ਵਿੱਚ ਕੁਝ ਵੀ ਟੁੱਟਿਆ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਬੇਨਤੀ ਕਦੇ ਇਸ ਵਿੱਚ ਦਾਖਲ ਨਹੀਂ ਹੁੰਦੀ। ਹੋਸਟਨਾਮ ਗੇਟਵੇ ਦੇ ਜਨਤਕ ਪਤੇ ਉੱਤੇ ਹੱਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਉਹ ਪਤਾ ਸਿਰਫ਼ ਉਸ ਸੁਰੰਗ ਤੋਂ ਬਾਹਰੋਂ ਪਹੁੰਚਯੋਗ ਹੈ ਜਿਸਨੂੰ ਇਹ ਖ਼ਤਮ ਕਰਦਾ ਹੈ। ਇਸਨੂੰ ਠੀਕ ਕਰਨ ਦਾ ਮਤਲਬ ਹੈ ਸੇਵਾ ਨੂੰ ਨਿੱਜੀ ਐਂਟਰੀ ਦੇਣਾ, ਬਾਹਰਲੇ ਸਿਰੇ ਨੂੰ ਇੱਧਰ-ਉੱਧਰ ਖਿਸਕਾਉਣਾ ਨਹੀਂ।

ਪੇਜ ਬਾਹਰੋਂ ਲੋਡ ਹੁੰਦਾ ਹੈ, ਸੁਰੰਗ ਰਾਹੀਂ ਨਹੀਂ

ਦੋ ਵੱਖਰੀਆਂ ਬੇਨਤੀਆਂ ਦੀ ਤੁਲਨਾ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ। ਮੋਬਾਈਲ ਡੇਟਾ ਤੋਂ ਬਰਾਊਜ਼ਰ ਸਿੱਧਾ ਜਨਤਕ ਪਤੇ ਉੱਤੇ ਪਹੁੰਚਦਾ ਹੈ। ਸੁਰੰਗ ਦੇ ਅੰਦਰੋਂ ਉਹੀ ਨਾਮ ਉਸੇ ਜਨਤਕ ਪਤੇ ਉੱਤੇ ਹੱਲ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਪੈਕਟ ਨੂੰ ਹੁਣ ਸੁਰੰਗ ਦੇ ਆਪਣੇ ਦੂਰਲੇ ਪਾਸੇ ਦੇ ਪਤੇ ਉੱਤੇ ਪਹੁੰਚਣ ਲਈ ਸੁਰੰਗ ਵਿੱਚੋਂ ਬਾਹਰ ਨਿਕਲਣਾ ਪੈਂਦਾ ਹੈ। ਉਹੀ ਨਾਮ, ਉਹੀ ਪਤਾ, ਦੋ ਬਿਲਕੁਲ ਵੱਖਰੀਆਂ ਸਥਿਤੀਆਂ।

ਮੰਜ਼ਿਲ ਮਾਰਗ ਪਤਾ ਚੁਣਦਾ ਹੈ, ਪੋਰਟ ਨਹੀਂ। ਰਾਊਟਿੰਗ ਟੇਬਲ ਵਿੱਚ ਕੁਝ ਵੀ ਨਹੀਂ ਜਾਣਦਾ ਕਿ ਪੋਰਟ 443 ਪ੍ਰਸ਼ਾਸਨ ਲਈ ਹੈ ਅਤੇ ਪੋਰਟ 1194 ਆਵਾਜਾਈ ਹੈ, ਇਸ ਲਈ ਦੋਵਾਂ ਨੂੰ ਇੱਕੋ ਮੰਜ਼ਿਲ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ।

ਇਸ ਲਈ ਪੇਜ ਕਦੇ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਕਦੇ ਨਹੀਂ, ਇਸ ਗੱਲ ਉੱਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਕਲਾਇੰਟ ਨੇ ਕਿਹੜਾ ਨਾਮ ਅਤੇ ਕਿਹੜਾ ਨੈੱਟਵਰਕ ਵਰਤਿਆ। ਇਹ ਮਾਰਗ ਦੀ ਸਮੱਸਿਆ ਹੈ, ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਸਮੱਸਿਆ ਨਹੀਂ. ਦੋਵੇਂ ਕਲਾਇੰਟ ਚੰਗੀ ਤਰ੍ਹਾਂ ਪ੍ਰਮਾਣਿਤ ਕਰਦੇ ਹਨ।

ਬਾਹਰਲੇ ਸਿਰੇ ਨੂੰ ਪਹੁੰਚਯੋਗ ਰੱਖੋ

ਪੂਰੀ-ਸੁਰੰਗ ਪਰੋਫਾਈਲ ਨੂੰ VPN ਸਿਰੇ ਲਈ ਅਪਵਾਦ ਮਾਰਗ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ OpenVPN ਦਾ redirect-gateway ਵਿਕਲਪ ਬਿਲਕੁਲ ਇਹੀ ਦਰਜ ਕਰਦਾ ਹੈ: ਦੂਰਲਾ ਸਿਰਾ ਪਹਿਲਾਂ ਤੋਂ ਮੌਜੂਦ ਗੇਟਵੇ ਰਾਹੀਂ ਮਾਰਗ ਰੱਖਦਾ ਹੈ ਤਾਂ ਜੋ ਸੁਰੰਗ ਆਪਣੇ ਆਪ ਵਿੱਚ ਮਾਰਗ ਨਾ ਬਣਾਵੇ। ਉਹ ਅਪਵਾਦ ਹਟਾਓ ਅਤੇ ਐਨਕ੍ਰਿਪਟਿਡ ਆਵਾਜਾਈ ਸੁਰੰਗ ਦਾ ਪਿੱਛਾ ਕਰਦੀ ਹੈ, ਜੋ ਸੈਸ਼ਨ ਨੂੰ ਲੂਪ ਵਿੱਚ ਖ਼ਤਮ ਕਰਦੀ ਹੈ। ਸਿਰੇ ਦਾ ਪਤਾ ਸੁਰੰਗ ਦੇ ਅੰਦਰੋਂ ਪਹੁੰਚਯੋਗ ਰਹਿਣ ਦਾ ਕਾਰਨ ਉਹੀ ਅਪਵਾਦ ਹੈ।

ਨਤੀਜਾ ਇਹ ਹੈ ਕਿ ਜਨਤਕ ਪਤਾ ਕਲਾਇੰਟ ਤੋਂ ਪਹੁੰਚਯੋਗ ਰਹਿੰਦਾ ਹੈ, ਅਤੇ ਇਸ ਲਈ ਉਸ ਪਤੇ ਉੱਤੇ ਬਰਾਊਜ਼ਰ ਬੇਨਤੀ ਵੀ ਉਹੀ ਅਪਵਾਦ ਅਪਣਾ ਕੇ ਸੁਰੰਗ ਵਿੱਚ ਦਾਖਲ ਹੋਏ ਬਿਨਾਂ ਬਾਹਰ ਨਿਕਲ ਸਕਦੀ ਹੈ। ਅਪਵਾਦ ਆਪਣਾ ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ, ਅਤੇ ਨੁਕਸਾਨ ਨਾਮ ਕਰ ਰਿਹਾ ਹੈ।

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਇੰਟਰਫੇਸ ਸੂਚੀ ਨਹੀਂ, ਮਾਰਗ ਦਾ ਫ਼ੈਸਲਾ ਪੜ੍ਹੋ। ਹੇਠਾਂ ਦਿੱਤੇ ਆਦੇਸ਼ ਸੂਚੀ ਨਹੀਂ, ਫ਼ੈਸਲਾ ਛਾਪਦੇ ਹਨ। ਉਹਨਾਂ ਨੂੰ ਉਸ ਕਲਾਇੰਟ ਤੋਂ ਚਲਾਓ ਜੋ ਫੇਲ੍ਹ ਹੋਇਆ।

ip -4 route get 203.0.113.77
ip -4 rule show
ip -4 route show table all

ਜੇ ਖੋਜ ਭੌਤਿਕ ਗੇਟਵੇ ਰਾਹੀਂ ਸਿਰੇ ਦਾ ਮਾਰਗ ਦਿਖਾਉਂਦੀ ਹੈ, ਤਾਂ ਵਿਵਹਾਰ ਸਹੀ ਹੈ ਅਤੇ ਐਡਮਿਨ ਪੇਜ ਸਿਰਫ਼ ਗ਼ਲਤ ਰਾਹ ਉੱਤੇ ਭੇਜਿਆ ਜਾ ਰਿਹਾ ਹੈ। ਉੱਥੇ ਹੀ ਨਾਮ ਹੱਲ ਕਰਨਾ ਸੁਧਾਰ ਬਣਦਾ ਹੈ।

ਸੇਵਾ ਨੂੰ ਨਿੱਜੀ ਨਾਮ ਦਿਓ

ਸੇਵਾ ਨੂੰ ਅਜਿਹਾ ਨਾਮ ਚਾਹੀਦਾ ਹੈ ਜੋ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਗੇਟਵੇ ਦੇ ਪਤੇ ਉੱਤੇ ਹੱਲ ਹੋਵੇ, ਅਤੇ ਨਾਲ ਹੀ ਉਹ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਹੋਸਟਨਾਮ ਅਰਥ ਬਚੇ ਰਹਿਣ ਜਿਨ੍ਹਾਂ ਦੀ ਐਪਲੀਕੇਸ਼ਨ ਉਮੀਦ ਕਰਦੀ ਹੈ। ਪ੍ਰਸ਼ਾਸਨਿਕ ਨਾਮ ਲਈ ਨਿੱਜੀ ਜ਼ੋਨ ਰਿਕਾਰਡ ਆਮ ਜਵਾਬ ਹੈ, ਅਤੇ ਇਹ ਆਵਾਜਾਈ ਦਾ ਨਾਮ ਅਛੂਤਾ ਛੱਡਦਾ ਹੈ।

ਆਵਾਜਾਈ ਦਾ ਨਾਮ ਅੰਦਰਲੇ ਪਤੇ ਉੱਤੇ ਮੁੜ-ਨਿਰਦੇਸ਼ਿਤ ਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਅਗਲੀ ਸੁਰੰਗ ਸਥਾਪਨਾ ਸਿਰਫ਼ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਮੌਜੂਦ ਪਤੇ ਉੱਤੇ ਪਹੁੰਚਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੇਗੀ। ਉਹ ਗ਼ਲਤੀ ਬਿਲਕੁਲ ਇੱਕ ਵਾਰ ਕੰਮ ਕਰਨ ਵਾਲਾ VPN ਬਣਾਉਂਦੀ ਹੈ।

ਦੋਵੇਂ ਪਤਾ ਪਰਿਵਾਰ ਵੀ ਜਾਂਚੋ, ਕਿਉਂਕਿ ਪਿੱਛੇ ਛੱਡਿਆ AAAA ਰਿਕਾਰਡ ਬਰਾਊਜ਼ਰ ਨੂੰ ਉੱਥੇ ਭੇਜ ਸਕਦਾ ਹੈ ਜਿੱਥੇ ਨਿੱਜੀ ਯੋਜਨਾ ਕਦੇ ਨਹੀਂ ਪਹੁੰਚੀ।

dig +short admin.hq.internal
dig +short -t AAAA admin.hq.internal
curl -sS -o /dev/null -w '%{http_code} %{remote_ip}\n' https://admin.hq.internal/

ਨੀਤੀ ਨੂੰ ਉਸ ਥਾਂ ਨਾਲ ਮਿਲਾਓ ਜਿੱਥੇ ਪ੍ਰਕਿਰਿਆ ਚੱਲਦੀ ਹੈ

ਗੇਟਵੇ ਉੱਤੇ ਸੁਣ ਰਹੀ ਮੂਲ ਪ੍ਰਕਿਰਿਆ ਤੱਕ ਸਥਾਨਕ-ਇਨਪੁਟ ਮਾਰਗ ਰਾਹੀਂ ਪਹੁੰਚਿਆ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਇਨਪੁਟ ਚੇਨ ਅਤੇ ਸਾਕਟ ਬਾਈਂਡਿੰਗ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਬੇਨਤੀ ਸਵੀਕਾਰ ਹੋਵੇਗੀ ਜਾਂ ਨਹੀਂ। ਫਾਰਵਰਡਿੰਗ ਨਿਯਮ ਅਤੇ IP ਫਾਰਵਰਡਿੰਗ ਸਥਾਨਕ ਸਰੋਤੇ ਨੂੰ ਜਵਾਬ ਦੇਣ ਲਈ ਮਜਬੂਰ ਨਹੀਂ ਕਰਦੇ। ਇਨਪੁਟ ਨੀਤੀ ਵਿੱਚ ਸੁਰੰਗ ਦੇ ਸਰੋਤਾਂ ਨੂੰ ਆਗਿਆ ਦਿਓ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਪ੍ਰਕਿਰਿਆ ਉਸ ਪਤੇ ਨਾਲ ਬੱਧੀ ਹੈ ਜਿੱਥੇ ਸੁਰੰਗ ਪਹੁੰਚ ਸਕੇ।

ਹੋਸਟ ਪੋਰਟ ਉੱਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੰਟੇਨਰ ਵੱਖਰਾ ਮਾਰਗ ਅਪਣਾਉਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਪੈਕਟ ਮੰਜ਼ਿਲ-ਅਨੁਵਾਦਿਤ ਹੋ ਕੇ ਫਾਰਵਰਡ ਹੁੰਦਾ ਹੈ। ਉਹ ਬੇਨਤੀ ਹੋਸਟ ਦੀ ਫਾਰਵਰਡਿੰਗ ਨੀਤੀ ਅਤੇ Docker ਦੇ ਆਪਣੇ ਨਿਯਮਾਂ ਨਾਲ ਮਿਲਦੀ ਹੈ, ਇਸ ਲਈ ਕੰਮ ਕਰਨ ਵਾਲਾ ਮੂਲ ਸਰੋਤਾ ਉਸੇ ਪੋਰਟ ਨੂੰ ਮਨਾਹੀ ਕਰਨ ਵਾਲੇ ਕੰਟੇਨਰ ਨਾਲ ਸਹਿ-ਹੋਂਦ ਰੱਖ ਸਕਦਾ ਹੈ।

ਦੋਵਾਂ ਸਥਿਤੀਆਂ ਵਿੱਚ ਸ਼ੁਰੂਆਤੀ ਕ੍ਰਮ ਮਹੱਤਵਪੂਰਨ ਹੈ, ਕਿਉਂਕਿ ਸੁਰੰਗ ਉੱਪਰ ਆਉਣ ਤੋਂ ਬਾਅਦ ਹੀ ਦਿਸਣ ਵਾਲੇ ਪਤੇ ਨਾਲ ਬਾਈਂਡਿੰਗ ਬੂਟ ਵੇਲੇ ਚੁੱਪਚਾਪ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ।

ਨਿੱਜੀ ਪਹੁੰਚ ਅਤੇ ਰੱਦ ਕੀਤਾ ਜਨਤਕ ਮਾਰਗ ਜਾਂਚੋ

ਐਪਲੀਕੇਸ਼ਨ ਦੀਆਂ ਆਪਣੀਆਂ ਪਛਾਣ-ਜਾਂਚਾਂ ਨੂੰ ਅਟੁੱਟ ਰੱਖਦੇ ਹੋਏ ਅਧਿਕਾਰਤ ਕਲਾਇੰਟ ਤੋਂ ਨਵੀਂ ਨਾਮ ਵਾਲੀ ਬੇਨਤੀ ਕਰੋ। ਫਿਰ ਸੁਰੰਗ ਤੋਂ ਬਾਹਰੋਂ ਉਹੀ ਸੇਵਾ ਅਜ਼ਮਾਓ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਇਹ ਜਵਾਬ ਨਹੀਂ ਦਿੰਦੀ। ਨਿੱਜੀ ਨਾਮ ਸੁਵਿਧਾ ਹੈ, ਪਾਬੰਦੀ ਨਹੀਂ, ਅਤੇ ਜਨਤਕ ਪਤੇ ਨਾਲ ਅਜੇ ਵੀ ਬੱਝਾ ਸਰੋਤਾ ਅਜੇ ਵੀ ਖੁੱਲ੍ਹਾ ਹੈ। ਉਹੀ ਆਖ਼ਰੀ ਜਾਂਚ ਹੈ ਜੋ ਜ਼ਿਆਦਾਤਰ ਸਮੀਖਿਆਵਾਂ ਛੱਡ ਦਿੰਦੀਆਂ ਹਨ।

ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਮਿਲਿਆ ਹੋਸਟਨਾਮ ਨਹੀਂ, ਬਾਈਂਡਿੰਗ ਅਤੇ ਫਿਲਟਰ ਸਥਿਤੀ ਪੜ੍ਹੋ। ਖੁੱਲ੍ਹਾਪਣ ਸਾਕਟ ਦਾ ਗੁਣ ਹੈ, ਨਾਮ ਦਾ ਨਹੀਂ। ਉਹ ਫ਼ਰਕ ਹਰ DNS ਬਦਲਾਅ ਵਿੱਚ ਬਚਿਆ ਰਹਿੰਦਾ ਹੈ।

ss -lntp | grep ':443'
nft list ruleset | grep -n 443
curl -sS -m 5 -o /dev/null -w '%{http_code}\n' https://203.0.113.77/

ਜਦੋਂ ਅੰਦਰਲੀ ਬੇਨਤੀ ਪੇਜ ਵਾਪਸ ਕਰਦੀ ਹੈ ਅਤੇ ਬਾਹਰਲੀ ਬੇਨਤੀ ਦਾ ਸਮਾਂ ਖ਼ਤਮ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਸੇਵਾ ਕੋਲ ਇੱਕ ਜਾਣ-ਬੁੱਝ ਕੇ ਬਣਾਇਆ ਨਿੱਜੀ ਮਾਰਗ ਹੁੰਦਾ ਹੈ ਅਤੇ ਆਵਾਜਾਈ ਪਹੁੰਚਯੋਗ ਰਹਿੰਦੀ ਹੈ। ਜਦੋਂ ਬਾਹਰਲੀ ਬੇਨਤੀ ਅਜੇ ਵੀ ਜਵਾਬ ਦਿੰਦੀ ਹੈ, ਤਾਂ ਕਿਸੇ ਵੱਲੋਂ ਸੇਵਾ ਨੂੰ ਸਿਰਫ਼-ਅੰਦਰਲੀ ਕਹਿਣ ਤੋਂ ਪਹਿਲਾਂ ਸਰੋਤਾ ਜਾਂ ਪ੍ਰਕਾਸ਼ਿਤ ਕੰਟੇਨਰ ਐਂਟਰੀ ਸੰਕੁਚਿਤ ਕਰਨੀ ਪੈਂਦੀ ਹੈ।