Spletni strežnik izgine, ko se poveže odjemalec VPN

Storitev, ki izgine v trenutku, ko se poveže odjemalec VPN, običajno ni blokirana, ampak odgovarja skozi napačen vmesnik. Zahteva prispe na fizično omrežno kartico, demon napiše odgovor in usmerjevalna tabela preda ta odgovor tunelu, ker je tunel prevzel privzeto pot. Oddaljeni odjemalec nikoli ne vidi odgovora na povezavo, ki jo je odprl, zato čaka in nato sporoči potek časa. V tem zaporedju nikjer ne sodeluje nobeno pravilo požarnega zidu.

Simptom: zahteve noter, odgovori ven skozi napačna vrata

Znak je dohodna povezava, ki ne uspe, medtem ko vse ostalo na gostitelju deluje. Drug znak je gostitelj, dosegljiv iz LAN, a ne iz interneta, ali tak, ki deluje, dokler se tunel znova ne poveže, in se nato ustavi. V vsakem primeru je smer naprej delovala, povratna pa ne, kar kaže na asimetrijo usmerjanja in ne na pravilnik.

Potrdite to z opazovanjem, kam gre odgovor, ne z opazovanjem, kako prispe zahteva.

Zajemajte hkrati na fizičnem vmesniku in na napravi tunela. Če se zahteva pojavi na fizičnem vmesniku, odgovor pa na tunelu, je diagnoza končana. Odgovor, ki se ne pojavi nikjer, pomeni, da storitev povezave ni nikoli sprejela, kar je ločena preiskava z ločenim vzrokom.

Dve privzeti poti in ena odločitev o usmerjanju

Odjemalec, ki namesti privzeto pot, doda drug vnos z boljšo metriko od prehoda LAN. Nekateri odjemalci namesto tega namestijo dve poti polovičnega razpona, ki pokrivata isti prostor bolj natančno in na enak način zmagata pri iskanju. Obe tehniki pustita običajnim odhodnim paketom, da izberejo vmesnik tunela.

Ta izbira se izvede samo po cilju. Jedro ne vpraša, od kod je paket prišel, razen če mu to ukaže pravilo pravilnika. Zato se odgovor na javni naslov odjemalca preda tunelu, katerega oddaljeni konec prejme paket z izvornim naslovom, ki ga ne poseduje, in ga zavrže ali posreduje nekam nekoristno. V Linuxu lahko strogo filtriranje povratne poti tudi zavrže prvotno zahtevo, preden jo vaša storitev sploh vidi, kar od zunaj izgleda enako. Oba simptoma izhajata iz iste manjkajoče povezave med dohodnim tokom in njegovim odgovorom.

Tunel se ves čas obnaša pravilno. Rečeno mu je bilo, naj nosi privzeto pot, in dela točno to.

Popravite povratno pot, ne da bi zlomili tunel

Obstajajo tri trajne oblike popravila, izbira pa je odvisna od tega, koliko gostiteljevega lastnega prometa naj ostane znotraj tunela. Izključitev cilja ali vrat storitve je najmanjša sprememba. Usmerjanje po pravilniku glede na vir ali oznako je najbolj natančno. Prevajanje vira je najbolj grobo in najlažje razložljivo dve leti pozneje.

Izberite glede na to, kaj mora gostitelj storiti, ne glede na to, kateri izsek ste našli prvi.

Izključitev cilja ustreza storitvi s stabilnim javnim naslovom, vezava demona na fizični naslov namesto na vse naslove pa to izključitev naredi varnejšo. Pravilo pravilnika, ki izbere tabelo glede na vir, ohrani gostiteljeve lastne povezave znotraj tunela in hkrati vrne odgovore storitve skozi prehod WAN. Maskiranje odgovorov na vmesniku WAN doseže isto pot za ceno skritja naslova odjemalca iz dnevnikov storitve. Ad hoc sprememba privzete poti je diagnostika in ne konfiguracija, ker odjemalec ob vsaki ponovni povezavi prepiše poti.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Ko gostitelj usmerja tudi za LAN za seboj

En skok dlje se ista asimetrija vrne z več gibljivimi deli. Promet doseže usmerjevalnik iz interneta, posreduje se notranji napravi, edina pot nazaj te naprave pa je tunel, zato odgovor doseže prvotnega odjemalca z naslova ponudnika samega. Sledenje povezavam nato naleti na odgovor za tok, katerega začetka ni videlo, in ga zavrže. Odjemalec medtem ne vidi prav ničesar.

Dve spremembi to popravita: prevajanje cilja, da dohodna povezava doseže notranjo napravo, in prevajanje vira, da odgovor te naprave izgleda, kot da prihaja od usmerjevalnika samega.

V vdelani programski opremi usmerjevalnika je običajen izraz pravilo pravilnika, ki posredovanje vrat pripne na stran WAN, medtem ko lastni promet usmerjevalnika potuje skozi tunel. Brez prevajanja vira je ta odgovor naslovljen na zunanjega odjemalca in notranja naprava preprosto nima poti do njega. Preizkusite tri stvari ločeno, ker spodletijo iz različnih razlogov: povezavo, ki pride od zunaj, tisto, ki jo gostitelj začne sam, in iskanje imena.