A i prish një klient VPN në serverin tuaj të uebit përgjigjet e tij?

Faqja ngarkohet nga një laptop në të njëjtin rrjet dhe skadon nga çdo vend tjetër, dhe hosti ekzekuton gjithashtu një klient VPN për trafikun e vet dalës. Ky kombinim prodhon një dështim specifik: lidhja hyrëse mbërrin, përgjigja del në rrugën e gabuar dhe klienti jashtë nuk sheh kurrë përgjigje. Të dyja gjysmat shfaqen në të njëjtin kapje paketash, kështu që rendi i ngjarjeve është pjesa që vlen të lexohet.

Një rregull rrugëtimi i bazuar në burim shpesh e rregullon simptomën. Ai zakonisht përjashton edhe më shumë trafik sesa faqja që e motivoi, dhe kjo është pjesa që vlen të kuptohet përpara se të ruani rregullin.

Simptoma: përgjigjet lokalisht dhe jo nga jashtë

Brenda rrjetit përgjigja nuk duhet të kalojë tunelin, kështu që faqja ngarkohet dhe shërbimi duket i shëndetshëm. Nga jashtë, kërkesa arrin hostin dhe përgjigja rrugëtohet në VPN, ku skaji i largët nuk ka asnjë arsye ta pranojë. Shfletuesi sheh një skadim kohe në vend të një refuzimi, që është shenja e një rruge njëdrejtimëshe dhe jo e një porte të mbyllur.

Konfirmoni formën përpara se të ndryshoni rrugëtimin: dëgjuesi është aktiv, kërkesa lokale ka sukses dhe kërkesa e jashtme nuk prodhon asnjë përgjigje. Këto tre vëzhgime së bashku tregojnë rrugën e kthimit dhe jo konfigurimin e serverit të uebit. Një asimetri kaq e pastër është më e dobishme se çdo rresht regjistri, sepse e përjashton dëgjuesin përpara se të lexoni një mesazh të vetëm gabimi.

Mbani hapur një rrugë administrimi të pavarur ndërsa punoni. Një rregull që prish sesionin tuaj SSH e kthen një rregullim dhjetëminutësh në një vizitë fizike.

Çfarë përputh në të vërtetë një përzgjedhës burimi

Në rrugëtimin e politikave të Linux, një rregull si from 192.168.50.2 përputh paketat burimi i të cilave është ai adresë. Ai nuk e kodon faktin që paketa vazhdon një bisedë që hyri përmes ruterit të shtëpisë dhe nuk e di cili proces e krijoi. Adresa në atë shembull është ilustruese; zëvendësojeni me adresën që hosti juaj përdor në të vërtetë. Trajtojeni rreshtin si një pohim për adresat dhe asgjë më shumë.

Nëse tabela e zgjedhur ofron një rrugë të paracaktuar të zakonshme, çdo paketë që mban atë burim mund të marrë të njëjtin përjashtim. Një shërbim tjetër i lidhur me të njëjtën adresë e trashëgon atë, dhe një aplikacion që lidhet qëllimisht me atë adresë e trashëgon gjithashtu. Referenca e rregullave të politikës rendit burimin, destinacionin, protokollin, portin, shenjën dhe përparësinë si përzgjedhës të veçantë, gjë që kujton se vetëm burimi është më i përafërti i disponueshëm.

Përparësia vendos rezultatin. Kërkimet kryhen sipas radhës dhe tabela e parë që jep rezultat mund ta përfundojë kërkimin, kështu që një rregull i vendosur shumë herët mund të fshehë një rrugë më specifike që një tabelë e mëvonshme do të kishte ofruar. Lexoni të gjithë listën e renditur në vend të rreshtit të vetëm që shtuat. Një rregull që nuk përputh kurrë nuk kushton asgjë, ndërsa ai që përputh shumë herët ndryshon në heshtje gjithçka pas tij.

Kontrolloni rrugën e kthimit dhe trafikun që nuk e kishit menduar

Lexoni rregullat dhe tabelat, pastaj pyesni kernelin se cilën rrugë do të merrte një çift i caktuar burimi dhe destinacioni. Testimi nga vetë hosti nuk është i njëjtë me testimin nga jashtë, prandaj bëjini të dyja.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Pastaj pranoni një lidhje të re të jashtme dhe, veçmas, një kërkesë që ende duhet të dalë përmes VPN. Nëse e dyta tani del drejtpërdrejt, përjashtimi është më i gjerë se problemi që po zgjidhnit, dhe testi që ka rëndësi është ai që nuk kishit ndërmend ta ndryshonit.

Një kontroll adrese publike në shfletues raporton vetëm kërkesat që ka bërë ai shfletues. Ai nuk thotë asgjë për përgjigjet e serverit të uebit, për zgjedhjen e burimit nga një aplikacion tjetër lokal, ose për atë që ndodh me trafikun e menaxhimit pas rilidhjes së ardhshme të VPN.

Vendosni sa i ngushtë mund të jetë përjashtimi

Dy modele janë të mbrojtshme dhe duhen zgjedhur me qëllim. Nëse hosti ekziston për të publikuar këtë shërbim dhe trafiku i tij dalës nuk është i rëndësishëm, një adresë lokale e dedikuar me një politikë vetëm për WAN është një rregullim i arsyeshëm me kusht që të pranoni të gjithë shtrirjen. Nëse vetëm lidhjet hyrëse të caktuara duhet të kualifikohen, zgjedhja e adresës është shumë e përafërt dhe përpara saj duhet të qëndrojë një model që i njeh lidhjet.

Regjistroni kontratën në të cilën mbështeteni: hartëzimin publik, adresën e hostit ku dorëzohet kërkesa dhe rrugën që pritet të marrë përgjigja. Një shërbim hyrës i publikuar përmes një ofruesi VPN është një kontratë e ndryshme nga ai i publikuar përmes një ruteri shtëpiak, dhe një përjashtim i kopjuar nga një shembull shpesh është i gabuar për tjetrin.

Mbajeni politikën në komponentin që zotëron rrugëtimin në vend që të ngjitni një komandë në një skedar nisjeje. Rendi i rregullave, pastrimi pas një ndryshimi rrjeti dhe përsëritja pas një rindezje duhet të mbijetojnë të gjitha, dhe një skedar nisjeje i patestuar dështon zakonisht në momentin kur nuk po shikoni. Përfundoni me rezultatin e pranimit që mund ta mbroni: një faqe e publikuar e rivendosur dhe një rrjedhë e palidhur e pandryshuar.