Access Server සේවාලාභීන් LAN එකෙන් ළඟා විය නොහැක්කේ ඇයි
රවුට් කළ සේවාලාභීන් තම පූල් ලිපිනය තබා ගනී, එබැවින් පිළිතුරුවලට ආපසු මාර්ගයක් අවශ්‍යයි. සේවාවේ මූලාශ්‍රය කියවා, පසුව නිවැරදි ගේට්වේ එකේ පූල් මාර්ගය එකතු කරන්න.
ලැප්ටොප් එක සම්බන්ධ වෙනවා, ටනල් එක ඉහළට එනවා, සහ අභ්‍යන්තර සේවාවකට යන ඉල්ලීම් සම්බන්ධ වීමේදී එල්ලී යනවා. සේවාවේම ඉල්ලීම පැමිණෙන්නේ 10.90.0.25 වැනි ලිපිනයකින්, පිළිතුර පෙරනිමි ගේට්වේ දෙසට පිටව යනවා, සහ කිසිවක් ආපසු එන්නේ නැහැ, ඒ ගේට්වේ එකට 10.90.0.25 කොහේදැයි කිසිම අදහසක් නැති නිසා. අනෙක් කෙළවරින් එම දෝෂයම සම්බන්ධ වූ සේවාලාභියෙකුට පිංග් කළ නොහැකි අභ්‍යන්තර සත්කාරකයක් ලෙස පෙනෙනවා. දෙකම එක් අතුරුදහන් වූ වස්තුවක්: VPN සේවාලාභී පූල් එකට ආපසු මාර්ගයක්, එය එකතු කළ හැක්කේ පෞද්ගලික ජාලයට පමණයි.
සේවාව දකින මූලාශ්‍ර ලිපිනය කියවන්න
එම එක් ක්ෂේත්‍රයක් අනෙක් සියල්ල තීරණය කරනවා. අභ්‍යන්තර සේවාව පූල් ලිපිනය දකින්නේ නම්, Access Server සේවාලාභී ගමන් ප්‍රවාහය සඟවනවා වෙනුවට රවුට් කරනවා, සහ සෑම පිළිතුරක්ම පූල් එකට ආපසු රවුට් කළ යුතුයි. ඒ වෙනුවට එය සර්වරයේම පෞද්ගලික ලිපිනය දකින්නේ නම්, සර්වරය මාස්කරේඩ් කරනවා සහ ආපසු මාර්ගය දැනටමත් වැඩ කරනවා, නමුත් සේවාවේ ලොග් සහ ප්‍රවේශ නීතිවල සෑම සේවාලාභියෙකුගේම අනන්‍යතාව අහිමි වීමේ මිලට.
කිසිවක් වෙනස් කිරීමට පෙර දෙකෙළවරම සසඳන්න. සර්වරයේ ටනල් අතුරුමුහුණත් සහ ඒවායේ ලිපින ලැයිස්තුගත කරන්න; සේවාලාභියා තුළ ඔහු සැබවින්ම එම ලිපිනවලින් කුමක් තබා ගන්නේදැයි තහවුරු කරන්න; අභ්‍යන්තර සත්කාරකයේ ක්‍රියාකාරී සම්බන්ධතාවක් බලන්න.
ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25අවසාන විධානය කැඩුණු අවස්ථාවේ අසාර්ථක වන්නේ එයයි: එය ටනල් පූර්වාංගය ළඟා විය නොහැකි බව වාර්තා කරනවා, නැතිනම්, ඊටත් නරක ලෙස, ඔබේ පෙරනිමි ගේට්වේ ආපසු දෙනවා, ඒ ආකාරයෙන්ම පිළිතුරු අන්තර්ජාලයට යනවා.
එකම පූල් එකක් යැයි උපකල්පනය නොකරන්න. සර්වරයකට ගතික පරාසයක් සහ සෑම පරිශීලකයෙකුටම ස්ථිතික සිතියම්කරණයක් තිබිය හැකියි, සහ ස්ථිතික ලිපිනය ගතික පූර්වාංගයෙන් සම්පූර්ණයෙන්ම පිටත විය හැකියි. ඔබට මතක පරාසය පමණක් රවුට් කරන්නේ නම්, ස්ථිර ලිපින ඇති පරිශීලකයින් කැඩී තිබෙනවා, අනෙක් සැම කෙනෙක්ම ගැටලුව විසඳා ඇතැයි වාර්තා කරනවා.
පිළිතුර තීරණය වන තැන මාර්ගය එකතු කරන්න
මාර්ගය අභ්‍යන්තර සේවාව දැනටමත් භාවිතා කරන ගේට්වේ එකට අයත්, සේවාවට නොවේ, සේවාව තමන්ගේම ප්‍රවාහය රවුට් නොකරන්නේ නම්. එය Access Server හි ළඟා විය හැකි පෞද්ගලික ලිපිනය වෙත යොමු කරන්න, එය සේවාලාභියෙකු සතු ටනල් ලිපිනයට වඩා වෙනස් අගයක්.
ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25ක්ලවුඩ් ජාලයක එම ප්‍රකාශයම මාර්ග වගුවේ ඇතුළත් කිරීමක් බවට පත්වෙනවා, එහි ඉලක්කය සර්වරය ක්‍රියාත්මක වන අවස්ථාව හෝ ජාල අතුරුමුහුණත වන අතර එම අතුරුමුහුණතේ මූලාශ්‍ර සහ ගමනාන්ත පරීක්ෂාව අක්‍රීයයි. එම ඇතුළත් කිරීම කුමක් නොකරන්නේදැයි සැලකිල්ලට ගන්න: මාර්ගයක් ප්‍රවේශ දීමනාවක් නොවේ, එබැවින් ආරක්ෂක කණ්ඩායම්, ජාල ACL සහ සත්කාරක ෆයර්වෝලය තවමත් ප්‍රවාහයට අවසර දිය යුතුයි.
එය ස්ථිර කරන්න, සහ පූල් වල ප්‍රමාණය අවංකව තබා ගන්න. යාබද නොවන පූල් දෙකකට මාර්ග දෙකක් අවශ්‍යයි, සහ වින්‍යාසගත පූර්වාංගයෙන් ඔබ්බට වර්ධනය වන පූල් එකක් නිහඬව පිළිතුරු යාමට තැනක් නැති සේවාලාභීන් නිර්මාණය කරනවා. ඔබ පූල් පරාස පාලනය කරන්නේ නම්, එක් වරක් රවුට් කර අත්හැරිය හැකි සාරාංශයක් තෝරන්න.
ෆෝවර්ඩින් සහ ෆිල්ටර මාර්ගය සමඟ එකඟ විය යුතුයි
රවුටින් යනු මාර්ගයේ අඩක් පමණයි. සර්වරයට ටනල් සහ පෞද්ගලික අතුරුමුහුණත අතර ෆෝවර්ඩ් කිරීමට අවසර තිබිය යුතුයි, ලිනක්ස් හි එයින් අදහස් වන්නේ net.ipv4.ip_forward සහ අතුරුමුහුණත් යුගලයට ඉඩ දෙන ෆෝවර්ඩ් දාමයක්, සහ දෘඩ කළ සත්කාරකයක සාමාන්‍යයෙන් සෑම දිශාවකටම වෙනම පැහැදිලි නියමයක්.
sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forwardතත්ත්ව සහිත ෆිල්ටර් කිරීම මිනිසුන් වැරදි මාර්ගයට ගෙන යන රෝග ලක්ෂණයක් පැහැදිලි කරනවා. ස්ථාපිත ප්‍රවාහයක් තුළ ඇති පිළිතුරකට නව ඇතුළත පැමිණෙන නියමයක් අවශ්‍ය නොවේ, එබැවින් SYN-ACK ට පසු එල්ලී යන සම්බන්ධතාවය අස්ථානගත පිළිගැනීමේ නියමයකින් අවහිර වන්නේ නැත; එය ඉවත දමනවා හෝ වැරදි ලෙස රවුට් වෙනවා. එම වෙනස රඳවා ගන්න, එය රවුටින් වෙනසක් සහ ෆයර්වෝල් වෙනසක් වෙන් කරන නිසා.
අසමමිතික ආපසු මාර්ග එම ගැටලුවේ වඩාත් නිහඬ ස්වරූපයයි. පූල් එකට මාර්ග දෙකක් ළඟා වී, ඉල්ලීම පැමිණි අතුරුමුහුණතට වඩා වෙනස් අතුරුමුහුණතකින් පිළිතුර පිටවෙන්නේ නම්, දැඩි ප්‍රතිලෝම මාර්ග ෆිල්ටරය එය ඉවත දමනවා, සහ ප්‍රවාහය සමහර සේවාලාභීන්ට පමණක් අසාර්ථක වෙනවා.
රවුට් හෝ මාස්කරේඩ්: හිතාමතා තෝරන්න
රවුට් මාදිලිය සේවාවේ සේවාලාභියාගේ පූල් ලිපිනය රැක ගන්නවා, එයින් සෑම සේවාලාභියෙකුටම ලොග් කිරීම සහ ප්‍රතිපත්තිය හැකි වෙනවා, වෙනුවට සේවාලාභියාට පිළිතුරු දිය යුතු සෑම අභ්‍යන්තර ජාලයකටම පූල් මාර්ගය අවශ්‍යයි. මාස්කරේඩ් මාදිලිය එම අවශ්‍යතාව ඉවත් කරනවා පිළිතුරු සර්වරයට ආපසු එන නිසා, නමුත් සේවාවට තවදුරටත් එක් සේවාලාභියෙකු අනෙකෙකුගෙන් වෙන් කළ නොහැකි අතර නිශ්චිත සේවාලාභියෙකු දෙසට කිසිවක් ආරම්භ කළ නොහැකියි.
ක්‍රියාකාරී සර්වරයක එම හැසිරීම වෙනස් කිරීම දැනට ඇති සැසි බිඳ දමනවා, එබැවින් මුලින්ම එක් සේවාලාභියෙකු සහ එක් ප්‍රවාහයක් සමඟ පරීක්ෂා කරන්න. වෙනස නිවැරදි පිළිතුර නම්, එය සර්වරයේ වින්‍යාස තීරණයක්, පසුව අනවශ්‍ය වන මාර්ග එකතු කර මඟ හරින දෙයක් නොවේ.
සේවාලාභියා පිටුපස ඇති උපජාලය වෙනම කාර්යයක්
ලැප්ටොප් එකේම LAN එකේ ඇති උපාංගයකට ළඟා වීම යනු ලැප්ටොප් එකේ ටනල් ලිපිනයට ළඟා වීම හා සමාන නොවේ. ඒ සඳහා සේවාලාභියා උපජාල ගේට්වේ ලෙස ක්‍රියා කළ යුතුයි: සේවාලාභී පැත්තේ ප්‍රකාශිත ජාලයක්, සේවාලාභියාගේ මෙහෙයුම් පද්ධතියේ ෆෝවර්ඩින් සක්‍රීය කර තිබීම, සහ එම LAN එකේ සේවාලාභියා දෙසට ආපසු මාර්ගයක්. ලැප්ටොප් එකේ නිවස්න පරාසය සඳහා පෞද්ගලික ජාල මාර්ගයක් එකතු කිරීම මෙය කරන්නේ නැත, සහ පරිශීලකයින් දෙදෙනෙකුට එකම නිවස්න පරාසයක් ඇති විට එය ගැටුම් ඇති කරනවා.
දිශාව ද ප්‍රතිපත්ති ප්‍රශ්නයක්. සේවාලාභියෙකුට අභ්‍යන්තර සේවාවකට සම්බන්ධතාවක් විවෘත කිරීමට දෙන අවසරය ස්වයංක්‍රීයව අභ්‍යන්තර සත්කාරකයකට එම සේවාලාභියාට සම්බන්ධතාවක් විවෘත කිරීමට ඉඩ නොදේ. මාර්ගය කැඩී ඇතැයි නිගමනය කිරීමට පෙර සර්වරයේ ප්‍රවේශ ප්‍රතිපත්තිය සහ සේවාලාභියාගේ සත්කාරක ෆයර්වෝලය පරීක්ෂා කරන්න.
එක් ප්‍රවාහයක් සහ එක් ග්‍රහණයක් සමඟ තහවුරු කරන්න
සාමාන්‍ය ළඟාවීමේ පරීක්ෂණයක් වෙනුවට එක් සම්බන්ධතාවකින් මාර්ගය ඔප්පු කරන්න. දෙකෙළවරම එකම ප්‍රවාහය නිරීක්ෂණය කරන්න: සේවාවට පැමිණෙන ඉල්ලීම සහ එයින් පිටවන පිළිතුර.
tcpdump -ni any host 10.90.0.25 and port 443අලුත්වැඩියාවට පෙර ග්‍රහණය පෙන්වන්නේ පිළිතුර රවුට් නොකරන ගේට්වේ දෙසට පිටවන බවයි. අලුත්වැඩියාවෙන් පසු පිළිතුර සර්වරය දෙසට පිටවෙනවා, සහ ප්‍රවාහය සම්පූර්ණ වෙනවා. ඉන්පසු දෙවන සේවාලාභී ලිපිනය සඳහා ගේට්වේ භාවිතා කරන මාර්ගය තහවුරු කරන්න, එවිට ඔබ ආවරණය නොකළ පූල් එකක් සතියකින් නොව දැන්ම දිස්වෙයි.
මෙය වසන කරුණු හතරකින් අවසන් කරන්න: සේවාවේ මූලාශ්‍ර ලිපිනය ඔබ අදහස් කළ මාදිලියට ගැළපෙනවා, ගේට්වේට භාවිතයේ ඇති සෑම පූල් එකකටම මාර්ගයක් ඇත, ෆෝවර්ඩින් සහ ෆිල්ටර දෙදිශාවටම අවසර දෙනවා, සහ සැබෑ ප්‍රවාහයක් මුල සිට අග දක්වා සම්පූර්ණ වෙනවා. Access Server රවුටින් පිළිබඳ නිතර අසන ප්‍රශ්න ස්ථාපිත නිකුතුව සඳහා එම මූලධර්මයම ප්‍රකාශ කරනවා, එහි සහාය දක්වන වින්‍යාස අතුරුමුහුණත පැරණි මාර්ගෝපදේශවලට වඩා වෙනස් විය හැකියි.