Веб-сервер нестаје када се VPN клијент повеже

Услуга која нестане у тренутку када се VPN клијент повеже обично није блокирана, него одговара кроз погрешан интерфејс. Захтев стиже на физичку мрежну картицу, демон пише одговор, а табела рутирања предаје тај одговор тунелу, јер је тунел преузео подразумевану путању. Удаљени клијент никада не види одговор на везу коју је отворио, па зато чека и затим пријави истек времена. Ниједно правило заштитног зида нигде не учествује у том следу.

Симптом: захтеви унутра, одговори излазе на погрешна врата

Знак је долазна веза која не успева док све остало на домаћину ради. Други знак је домаћин доступан са LAN-а, али не са интернета, или онај који ради док се тунел поново не повеже и затим стане. У сваком случају смер напред је радио, а повратни није, што указује на асиметрију рутирања, а не на политику.

Потврдите то посматрањем камо одговор иде, а не посматрањем како захтев стиже.

Снимите истовремено на физичком интерфејсу и на уређају тунела. Ако се захтев појави на физичком интерфејсу, а одговор на тунелу, дијагноза је завршена. Одговор који се нигде не појави значи да услуга никада није прихватила везу, што је посебна истрага са посебним узроком.

Две подразумеване путање и једна одлука о рутирању

Клијент који инсталира подразумевану путању додаје други запис са бољом метриком од LAN мрежног пролаза. Неки клијенти уместо тога инсталирају две путање пола опсега, које покривају исти простор прецизније и на исти начин побеђују при претрази. Обе технике остављају обичне излазне пакете да изаберу интерфејс тунела.

Тај избор се врши само према одредишту. Језгро не пита одакле је пакет дошао, осим ако му правило политике то нареди. Зато се одговор на јавну адресу клијента предаје тунелу, чији далеки крај прима пакет са изворном адресом коју не поседује и одбацује га или га прослеђује негде бескорисно. На Linux-у строго филтрирање повратне путање такође може да одбаци оригинални захтев пре него што га ваша услуга уопште види, што споља изгледа идентично. Оба симптома долазе из исте везе која недостаје између долазног тока и његовог одговора.

Тунел се понаша исправно све време. Речено му је да носи подразумевану путању и он чини управо то.

Поправите повратну путању без ломљења тунела

Постоје три трајна облика поправке, а избор зависи од тога колико сопственог саобраћаја домаћина треба да остане унутар тунела. Искључивање одредишта или порта услуге је најмања промена. Рутирање по политици према извору или ознаци је најпрецизније. Превод извора је најгрубљи и најлакши за објашњавање после две године.

Бирајте према томе шта домаћин мора да ради, а не према томе који сте одломак прво нашли.

Искључивање одредишта одговара услузи са стабилном јавном адресом, а везивање демона за физичку адресу уместо за сваку адресу чини то искључивање безбеднијим. Правило политике које бира табелу према извору држи сопствене везе домаћина унутар тунела и истовремено враћа одговоре услуге кроз WAN пролаз. Маскирање одговора на WAN интерфејсу стиже до исте путање по цени скривања адресе клијента из евиденција услуге. Ad hoc промена подразумеване путање је дијагностика, а не конфигурација, јер клијент преписаје путање при сваком поновном повезивању.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Када домаћин рутира и за LAN иза себе

Један скок даље, иста асиметрија се враћа са више покретних делова. Саобраћај стиже до рутера са интернета, прослеђује се унутрашњем уређају, а једина повратна путања тог уређаја је тунел, па одговор стиже до оригиналног клијента са сопствене адресе добављача. Затим праћење веза наилази на одговор за ток чији почетак није видело, и одбацује га. Клијент, у међувремену, не види ништа.

Две промене то поправљају: превод одредишта да долазна веза стигне до унутрашњег уређаја, и превод извора да одговор тог уређаја изгледа као да долази од самог рутера.

У фирмверу рутера уобичајен израз је правило политике које качење прослеђивања порта на WAN страну док сопствени саобраћај рутера иде тунелом. Без превода извора тај одговор је адресиран на спољни клијент и унутрашњи уређај једноставно нема путању до њега. Тестирајте три ствари одвојено, јер не успевају из различитих разлога: веза која долази споља, она коју домаћин сам покрене, и претрага имена.