Serveri i uebit zhduket kur lidhet klienti VPN

Një shërbim që zhduket në momentin kur lidhet një klient VPN zakonisht nuk bllokohet, ai përgjigjet përmes ndërfaqes së gabuar. Kërkesa mbërrin në kartën fizike të rrjetit, daemon-i shkruan një përgjigje dhe tabela e rrugëtimit ia dorëzon atë përgjigje tunelit, meqë tuneli ka marrë përsipër rrugën e paracaktuar. Klienti i largët nuk sheh kurrë përgjigje për një lidhje që hapi, prandaj pret dhe më pas raporton skadim kohe. Asnjë rregull i murit të zjarrit nuk përfshihet askund në atë sekuencë.

Simptoma: kërkesa brenda, përgjigje jashtë nga dera e gabuar

Shenja është një lidhje hyrëse që dështon ndërsa gjithçka tjetër në host funksionon. Një shenjë tjetër është një host i arritshëm nga LAN-i por jo nga interneti, ose një që funksionon derisa tuneli të rilidhet dhe pastaj ndalon. Në çdo rast drejtimi përpara sillej mirë dhe ai i kthimit jo, gjë që tregon asimetri rrugëtimi dhe jo politikë.

Konfirmojeni duke vëzhguar ku shkon përgjigja, jo duke vëzhguar si mbërrin kërkesa.

Kapni njëkohësisht në ndërfaqen fizike dhe në pajisjen e tunelit. Nëse kërkesa shfaqet në ndërfaqen fizike dhe përgjigja në tunel, diagnoza ka mbaruar. Një përgjigje që nuk shfaqet askund do të thotë që shërbimi nuk e pranoi kurrë lidhjen, gjë që është një hetim i veçantë me një shkak të veçantë.

Dy rrugë të paracaktuara dhe një vendim rrugëtimi

Një klient që instalon një rrugë të paracaktuar shton një hyrje të dytë me metrikë më të mirë se ajo e portës së LAN-it. Disa klientë instalojnë në vend të kësaj dy rrugë gjysmë-diapazoni, të cilat mbulojnë të njëjtin hapësirë më specifikisht dhe e fitojnë kërkimin në të njëjtën mënyrë. Të dyja teknikat i lënë paketat e zakonshme dalëse të zgjedhin ndërfaqen e tunelit.

Kjo zgjedhje bëhet vetëm sipas destinacionit. Bërthama nuk pyet nga ka ardhur një paketë, përveç nëse një rregull politike ia urdhëron. Prandaj përgjigja për një adresë publike klienti i dorëzohet tunelit, skaji i largët i të cilit merr një paketë me adresë burimi që nuk e zotëron dhe e hedh atë ose e përcjell diku të padobishëm. Në Linux, filtrim i rreptë i rrugës së kundërt mund të hedhë edhe kërkesën origjinale përpara se shërbimi juaj ta shohë fare, gjë që nga jashtë duket njësoj. Të dyja simptomat vijnë nga i njëjti asociacion që mungon midis një fluksi hyrës dhe përgjigjes së tij.

Tuneli sillet saktë gjatë gjithë kohës. Iu tha të mbante rrugën e paracaktuar dhe bën pikërisht atë.

Riparoni rrugën e kthimit pa thyer tunelin

Ekzistojnë tre forma të qëndrueshme riparimi, dhe zgjedhja varet nga sa nga trafiku i vetë hostit duhet të mbetet brenda tunelit. Përjashtimi i destinacionit ose portës së shërbimit është ndryshimi më i vogël. Rrugëtimi sipas politikës sipas burimit ose shenjës është më i saktë. Përkthimi i burimit është më i përafërt dhe më i lehtë për t'u shpjeguar dy vjet më vonë.

Zgjidhni sipas asaj që duhet të bëjë hosti, jo sipas atij fragmenti që gjetët i pari.

Përjashtimi i një destinacioni u përshtatet një shërbimi me adresë publike të qëndrueshme, dhe lidhja e daemon-it me adresën fizike në vend të çdo adrese e bën atë përjashtim më të sigurt. Një rregull politike që zgjedh një tabelë sipas burimit i mban lidhjet e vetë hostit brenda tunelit dhe njëkohësisht i kthen përgjigjet e shërbimit përmes portës WAN. Maskimi i përgjigjeve në ndërfaqen WAN arrin të njëjtën rrugë me çmimin e fshehjes së adresës së klientit nga regjistrat e shërbimit. Një ndryshim ad hoc i rrugës së paracaktuar është diagnostikim dhe jo konfigurim, sepse klienti i rishkruan rrugët në çdo rilidhje.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Kur hosti rrugëton edhe për një LAN pas vetes

Një hap më tej, e njëjta asimetri kthehet me më shumë pjesë lëvizëse. Trafiku arrin te ruteri nga interneti, përcillet te një pajisje e brendshme, dhe rruga e vetme e kthimit të asaj pajisjeje është tuneli, kështu që përgjigja arrin te klienti origjinal nga adresa e vetë ofruesit. Ndjekja e lidhjeve pastaj ndeshet me një përgjigje për një fluks të cilin nuk e ka parë të nisë, dhe e hedh atë. Klienti ndërkohë nuk sheh absolutisht asgjë.

Dy ndryshime e riparojnë atë: përkthimi i destinacionit që lidhja hyrëse të arrijë pajisjen e brendshme, dhe përkthimi i burimit që përgjigja e asaj pajisjeje të duket se vjen nga vetë ruteri.

Në firmuerin e ruterit shprehja e zakonshme është një rregull politike që fikson përcjelljen e portës në anën WAN ndërsa trafiku i vetë ruterit udhëton përmes tunelit. Pa përkthim të burimit, ajo përgjigje i drejtohet klientit të jashtëm dhe pajisja e brendshme thjesht nuk ka rrugë drejt saj. Provoni tre gjëra veçmas, sepse dështojnë për arsye të ndryshme: një lidhje që vjen nga jashtë, një që hosti e nis vetë, dhe një kërkim emri.