Webový server zmizne, keď sa pripojí klient VPN

Služba, ktorá zmizne v okamihu, keď sa pripojí klient VPN, zvyčajne nie je blokovaná, ale odpovedá cez nesprávne rozhranie. Požiadavka dorazí na fyzickú sieťovú kartu, démon zapíše odpoveď a smerovacia tabuľka odovzdá túto odpoveď tunelu, pretože tunel prevzal predvolenú trasu. Vzdialený klient nikdy neuvidí odpoveď na spojenie, ktoré otvoril, takže čaká a potom nahlási vypršanie časového limitu. V tom slede sa nikde neuplatňuje žiadne pravidlo firewallu.

Príznak: požiadavky dnu, odpovede von nesprávnymi dverami

Príznakom je prichádzajúce spojenie, ktoré zlyhá, zatiaľ čo všetko ostatné na hostiteľovi funguje. Ďalším vodítkom je hostiteľ dostupný z LAN, ale nie z internetu, alebo taký, ktorý funguje, kým sa tunel znova nepripojí, a potom sa zastaví. V každom prípade fungoval smer tam a smer späť nie, čo poukazuje na asymetriu smerovania, a nie na politiku.

Potvrďte to sledovaním, kam ide odpoveď, nie sledovaním, ako prichádza požiadavka.

Zachytávajte súčasne na fyzickom rozhraní a na zariadení tunela. Ak sa požiadavka objaví na fyzickom rozhraní a odpoveď na tuneli, diagnóza je hotová. Odpoveď, ktorá sa neobjaví nikde, znamená, že služba spojenie nikdy neprijala, čo je samostatné vyšetrovanie so samostatnou príčinou.

Dve predvolené trasy a jedno rozhodnutie o smerovaní

Klient, ktorý nainštaluje predvolenú trasu, pridá druhý záznam s lepšou metrikou než má brána LAN. Niektorí klienti namiesto toho nainštalujú dve trasy polovičného rozsahu, ktoré pokrývajú ten istý priestor konkrétnejšie a vyhrajú vyhľadávanie rovnakým spôsobom. Obe techniky nechávajú bežné odchádzajúce pakety vyberať rozhranie tunela.

Táto voľba sa robí iba podľa cieľa. Jadro sa nepýta, odkiaľ paket prišiel, ak mu to pravidlo politiky neprikáže. Preto sa odpoveď na verejnú adresu klienta odovzdá tunelu, ktorého vzdialený koniec dostane paket so zdrojovou adresou, ktorú nevlastní, a zahodí ho alebo prepošle niekam zbytočne. V Linuxe môže striktné filtrovanie spätnej cesty tiež zahodiť pôvodnú požiadavku skôr, než ju vaša služba vôbec uvidí, čo zvonku vyzerá rovnako. Oba príznaky pochádzajú z toho istého chýbajúceho spojenia medzi prichádzajúcim tokom a jeho odpoveďou.

Tunel sa po celý čas správa správne. Bolo mu povedané, aby niesol predvolenú trasu, a robí presne to.

Opravte spätnú cestu bez toho, aby ste rozbili tunel

Existujú tri trvalé formy opravy a voľba závisí od toho, koľko vlastnej prevádzky hostiteľa má zostať vnútri tunela. Vylúčenie cieľa alebo portu služby je najmenšia zmena. Smerovanie podľa politiky podľa zdroja alebo značky je najpresnejšie. Preklad zdroja je najhrubší a najľahšie vysvetliteľný po dvoch rokoch.

Vyberajte podľa toho, čo musí hostiteľ robiť, nie podľa toho, ktorý fragment ste našli prvý.

Vylúčenie cieľa sa hodí pre službu so stabilnou verejnou adresou a pripútanie démona k fyzickej adrese namiesto ku každej adrese robí toto vylúčenie bezpečnejším. Pravidlo politiky, ktoré vyberá tabuľku podľa zdroja, udržiava vlastné spojenia hostiteľa vnútri tunela a zároveň vracia odpovede služby cez bránu WAN. Maskovanie odpovedí na rozhraní WAN dosiahne tú istú cestu za cenu skrytia adresy klienta z protokolov služby. Ad hoc zmena predvolenej trasy je diagnostika, nie konfigurácia, pretože klient pri každom opätovnom pripojení prepisuje trasy.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Keď hostiteľ smeruje aj pre LAN za sebou

O jeden skok ďalej sa tá istá asymetria vracia s viacerými pohyblivými časťami. Prevádzka dorazí do routera z internetu, odovzdá sa internému zariadeniu a jediná cesta toho zariadenia späť je tunel, takže odpoveď dorazí k pôvodnému klientovi z vlastnej adresy poskytovateľa. Sledovanie spojení potom narazí na odpoveď pre tok, ktorého začiatok nevidelo, a zahodí ju. Klient medzitým nevidí vôbec nič.

Opravujú to dve zmeny: preklad cieľa, aby sa prichádzajúce spojenie dostalo k internému zariadeniu, a preklad zdroja, aby odpoveď toho zariadenia vyzerala, akoby prichádzala od samotného routera.

Vo firmvéri routera je obvyklým vyjadrením pravidlo politiky, ktoré pripína presmerovanie portu na stranu WAN, zatiaľ čo vlastná prevádzka routera ide tunelom. Bez prekladu zdroja je tá odpoveď adresovaná externému klientovi a interné zariadenie k nej jednoducho nemá trasu. Otestujte tri veci oddelene, pretože zlyhávajú z rôznych dôvodov: spojenie prichádzajúce zvonku, to, ktoré hostiteľ sám iniciuje, a vyhľadanie mena.