Rozbíja VPN klient na vašom webovom serveri jeho odpovede?

Stránka sa načítava z notebooku v tej istej sieti a všade inde končí časovým limitom, a hostiteľ navyše spúšťa VPN klienta pre svoju vlastnú odchádzajúcu prevádzku. Táto kombinácia vytvára konkrétnu poruchu: prichádzajúce spojenie dorazí, odpoveď odchádza nesprávnou cestou a klient vonku nikdy nevidí odpoveď. Obe polovice sú viditeľné v tom istom zachytení paketov, takže poradie udalostí je časť, ktorú sa oplatí čítať.

Pravidlo smerovania založené na zdroji často odstráni príznak. Zvyčajne tiež vyňa viac prevádzky než stránka, ktorá ho vyvolala, a to je časť, ktorú sa oplatí pochopiť pred uložením pravidla.

Príznak: odpovedá lokálne a nie zvonku

Vnútri siete nemusí odpoveď prechádzať tunelom, takže stránka sa načíta a služba vyzerá zdravo. Zvonku požiadavka dorazí k hostiteľovi a odpoveď sa smeruje do VPN, kde vzdialený koniec nemá dôvod ju prijať. Prehliadač vidí vypršanie časového limitu namiesto odmietnutia, čo je znak jednosmernej cesty, a nie zatvoreného portu.

Potvrďte tvar, kým zmeníte smerovanie: naslúchač beží, lokálna požiadavka uspeje a externá požiadavka nevydá žiadnu odpoveď. Tieto tri pozorovania spolu ukazujú na návratovú cestu, a nie na konfiguráciu webového servera. Tak čistá asymetria je užitočnejšia než ktorýkoľvek riadok protokolu, pretože vylučuje naslúchač skôr, než prečítate jedinú chybovú správu.

Pri práci si nechajte otvorenú nezávislú administratívnu cestu. Pravidlo, ktoré rozbije vašu vlastnú SSH reláciu, premení desaťminútovú opravu na fyzickú návštevu.

Čo selektor zdroja skutočne porovnáva

V linuxovom politickom smerovaní pravidlo ako from 192.168.50.2 porovnáva pakety, ktorých zdrojom je táto adresa. Nekóduje skutočnosť, že paket pokračuje v konverzácii, ktorá vstúpila cez domáci router, a nevie, ktorý proces ho vytvoril. Adresa v tomto príklade je ilustratívna; nahraďte ju adresou, ktorú váš hostiteľ skutočne používa. Berte riadok ako tvrdenie o adresách a nič viac.

Ak vybraná tabuľka poskytuje obyčajnú predvolenú trasu, každý paket nesúci tento zdroj môže využiť tú istú výnimku. Iná služba viazaná na rovnakú adresu ju zdedí a aplikácia, ktorá sa na túto adresu zámerne viaže, ju zdedí tiež. Referencia pravidiel politiky uvádza zdroj, cieľ, protokol, port, značku a prioritu ako samostatné selektory, čo pripomína, že samotný zdroj je najhrubší dostupný.

Priorita rozhoduje o výsledku. Vyhľadávania prebiehajú v poradí a prvá tabuľka, ktorá dá výsledok, môže vyhľadávanie ukončiť, takže pravidlo umiestnené príliš skoro môže skryť konkrétnejšiu trasu, ktorú by poskytla neskoršia tabuľka. Prečítajte si celý zoradený zoznam, a nie jediný riadok, ktorý ste pridali. Pravidlo, ktoré nikdy neodpovedá, nič nestojí, zatiaľ čo to, ktoré odpovedá príliš skoro, potichu mení všetko za sebou.

Skontrolujte návratovú cestu a prevádzku, ktorú ste nezamýšľali

Prečítajte si pravidlá a tabuľky a potom sa spýtajte jadra, ktorú trasu by zvolila konkrétna dvojica zdroja a cieľa. Testovanie z hostiteľa samotného nie je to isté ako testovanie zvonku, takže urobte oboje.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Potom prijmite nové externé spojenie a oddelene požiadavku, ktorá ešte musí odísť cez VPN. Ak druhá teraz vychádza priamo, výnimka je širšia než problém, ktorý ste riešili, a test, na ktorom záleží, je ten, ktorý ste nechceli meniť.

Kontrola verejnej adresy v prehliadači hlási len požiadavky, ktoré tento prehliadač vykonal. Nič nehovorí o odpovediach webového servera, o voľbe zdroja inej lokálnej aplikácie ani o tom, čo sa stane s riadiacou prevádzkou po ďalšom opätovnom pripojení VPN.

Rozhodnite, aká úzka môže výnimka byť

Dva návrhy sú obhájiteľné a mali by sa zvoliť vedome. Ak hostiteľ existuje preto, aby túto službu publikoval, a jeho odchádzajúca prevádzka nie je dôležitá, vyhradená lokálna adresa so zásadou len pre WAN je rozumné usporiadanie, ak prijmete celý rozsah. Ak sa majú kvalifikovať len určité prichádzajúce spojenia, voľba adresy je príliš hrubá a pred ňou patrí návrh, ktorý rozlišuje spojenia.

Zaznamenajte zmluvu, na ktorú sa spoliehate: verejné mapovanie, adresu hostiteľa, na ktorú sa požiadavka doručuje, a cestu, ktorou má odpoveď prejsť. Prichádzajúca služba publikovaná cez poskytovateľa VPN je iná zmluva než tá publikovaná cez domáci router, a výnimka skopírovaná z jedného príkladu je pre druhý často nesprávna.

Uchovávajte zásadu v komponente, ktorá vlastní smerovanie, namiesto vkladania príkazu do spúšťacieho súboru. Poradie pravidiel, upratanie po zmene siete a opakovanie po reštarte musia prežiť, a netestovaný spúšťací súbor zvyčajne zlyhá v okamihu, keď sa nepozeráte. Skončite výsledkom prijatia, ktorý môžete obhájiť: jedna publikovaná stránka obnovená a jeden nesúvisiaci tok nezmenený.