Ali VPN odjemalec na vašem spletnem strežniku pokvari njegove odgovore?

Spletno mesto se naloži s prenosnika v istem omrežju in povsod drugje poteče čas, gostitelj pa za svoj odhodni promet poganja tudi odjemalca VPN. Ta kombinacija ustvari določeno napako: dohodna povezava prispe, odgovor odide po napačni poti, odjemalec zunaj pa nikoli ne vidi odgovora. Obe polovici se pojavita v istem zajemu paketov, zato je vrstni red dogodkov tisti del, ki ga je vredno prebrati.

Pravilo usmerjanja na podlagi vira pogosto odpravi simptom. Ponavadi izvzame tudi več prometa kot spletno mesto, ki ga je spodbudilo, in prav to je del, ki ga je vredno razumeti pred shranjevanjem pravila.

Simptom: odgovarja lokalno in ne od zunaj

Znotraj omrežja odgovoru ni treba skozi tunel, zato se stran naloži in storitev je videti zdrava. Od zunaj zahteva doseže gostitelja in odgovor se usmeri v VPN, kjer oddaljeni konec nima razloga, da bi ga sprejel. Brskalnik vidi potek časa namesto zavrnitve, kar je znak enosmerne poti in ne zaprtih vrat.

Potrdite obliko, preden spremenite usmerjanje: poslušalec deluje, lokalna zahteva uspe, zunanja zahteva pa ne da nobenega odgovora. Ta tri opažanja skupaj kažejo na povratno pot in ne na konfiguracijo spletnega strežnika. Tako čista asimetrija je bolj uporabna od katere koli vrstice dnevnika, ker izloči poslušalca, preden preberete eno samo sporočilo o napaki.

Med delom imejte odprto neodvisno upravljavsko pot. Pravilo, ki pokvari vašo lastno sejo SSH, desetminutni popravek spremeni v fizični obisk.

Kaj selektor vira v resnici ujame

V omrežnem usmerjanju politik Linux pravilo, kot je from 192.168.50.2, ujame pakete, katerih vir je ta naslov. Ne kodira dejstva, da paket nadaljuje pogovor, ki je vstopil skozi domači usmerjevalnik, in ne ve, kateri proces ga je ustvaril. Naslov v tem primeru je ponazoritven; zamenjajte ga z naslovom, ki ga vaš gostitelj dejansko uporablja. Vrstico obravnavajte kot trditev o naslovih in nič več.

Če izbrana tabela zagotavlja običajno privzeto pot, lahko vsak paket s tem virom ubere isto izjemo. Druga storitev, vezana na isti naslov, jo podeduje, in aplikacija, ki se namerno veže na ta naslov, jo prav tako podeduje. Referenca pravil politike navaja vir, cilj, protokol, vrata, oznako in prioriteto kot ločene selektorje, kar opozarja, da je sam vir najbolj grob, kar jih je na voljo.

Prioriteta odloči izid. Iskanja potekajo po vrstnem redu in prva tabela, ki da rezultat, lahko iskanje konča, zato lahko pravilo, postavljeno prezgodaj, skrije bolj specifično pot, ki bi jo zagotovila poznejša tabela. Preberite celoten urejeni seznam in ne le vrstice, ki ste jo dodali. Pravilo, ki se nikoli ne ujema, ne stane nič, medtem ko tisto, ki se ujema prezgodaj, tiho spremeni vse za seboj.

Preverite povratno pot in promet, ki ga niste nameravali

Preberite pravila in tabele, nato vprašajte jedro, katero pot bi izbral določen par vira in cilja. Testiranje z gostitelja samega ni isto kot testiranje od zunaj, zato naredite oboje.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Nato sprejmite novo zunanjo povezavo in ločeno zahtevo, ki mora še vedno oditi skozi VPN. Če druga zdaj odide neposredno, je izjema širša od težave, ki ste jo reševali, in preizkus, ki šteje, je tisti, ki ga niste nameravali spremeniti.

Preverjanje javnega naslova v brskalniku poroča le o zahtevah, ki jih je opravil ta brskalnik. Ne pove ničesar o odgovorih spletnega strežnika, o izbiri vira druge lokalne aplikacije ali o tem, kaj se zgodi z upravljavskim prometom po naslednji ponovni povezavi VPN.

Odločite se, kako ozka je lahko izjema

Dve zasnovi sta zagovorljivi in ju je treba izbrati zavestno. Če gostitelj obstaja za objavo te storitve in njegov odhodni promet ni pomemben, je namenski lokalni naslov s politiko samo za WAN razumna ureditev, če sprejmete celoten obseg. Če se morajo kvalificirati le določene dohodne povezave, je izbira naslova preveč groba in pred njo spada zasnova, ki upošteva povezave.

Zapišite pogodbo, na katero se opirate: javno preslikavo, naslov gostitelja, na katerega je zahteva dostavljena, in pot, po kateri naj bi šel odgovor. Dohodna storitev, objavljena prek ponudnika VPN, je drugačna pogodba od tiste, objavljene prek domačega usmerjevalnika, in izjema, prepisana iz enega primera, je za drugega pogosto napačna.

Politiko hranite v komponenti, ki upravlja usmerjanje, namesto da bi ukaz prilepili v zagonsko datoteko. Vrstni red pravil, čiščenje po spremembi omrežja in ponovitev po ponovnem zagonu morajo vsi preživeti, netestirana zagonska datoteka pa običajno odpove v trenutku, ko ne gledate. Končajte z rezultatom sprejema, ki ga lahko zagovarjate: eno objavljeno spletno mesto obnovljeno in en tok brez povezave nespremenjen.