Kwa nini seva iliyo nyuma ya mteja wa VPN hujibu kupitia handaki

Miunganisho inayoingia kwenye mwenyeji ambaye pia anaendesha mteja wa VPN hushindwa kwa namna maalum sana: kupeana mkono kunafika, daemon hujibu, na mteja hapokei chochote kurudi. Hakuna kinachozuia lango. Jibu lilitoka kupitia handaki, kwa sababu handaki linamiliki njia chaguo-msingi na kernel huelekeza majibu kulingana na lengwa, si kulingana na kumbukumbu ya mahali ombi lilitoka. Uachiaji huo mmoja unaeleza kila dalili inayofuata.

Jibu huelekezwa, halikumbukwi

Mteja wa VPN anayeweka njia chaguo-msingi huongeza ingizo linalozidi lango la LAN, ama kwa metrikia ama kwa kugawanya nafasi katika nusu mbili mahususi zaidi. Pakiti zinazotoka sasa huchagua kiolesura cha handaki. Kernel kamwe hauluizi pakiti inayojibiwa ilifika kutoka wapi awali. Uachiaji huo mmoja unaeleza kila dalili inayofuata.

Mwelekeo wa mbele huelekezwa kulingana na lengwa, na wa kurudi pia. Jibu linaelekezwa kwa mteja wa umma, ambalo handaki litabeba kwa furaha. Upande wa mbali hupokea pakiti ambayo chanzo chake hakimiliki, huitupa, na mteja wa awali husubiri hadi muda uishe.

Uchujaji mkali wa njia ya kurudi unaweza kudondosha pakiti inayoingia kabla daemon haijaisoma. Angalia kihesabu hicho kwanza, kwa sababu kudondoshwa kwa kichujio na kosa la uelekezaji huonekana sawa kutoka nje.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Amri ya kwanza inaonyesha ni njia gani chaguo-msingi inashinda sasa. Ya pili inaripoti kama uchujaji mkali unatumika kwa dunia nzima au kwa kila kiolesura, na ya tatu inaonyesha sheria yoyote ya mnyororo wa upelekaji inayoweza kuhusika.

Njia tatu za kuhifadhi njia ya kurudi

Kutenga lengwa la huduma na handaki ndiyo chaguo jembamba zaidi. Njia ya mwenyeji inayoelekea lango la LAN, pamoja na daemon iliyofungwa kwa anwani halisi badala ya kila anwani, huiweka mtiririko huo mmoja nje ya handaki. Mabadiliko ni ya ndani na ni rahisi kutengua.

Uelekezaji wa sera ndiyo jibu la jumla. Sheria inayotegemea anwani ya chanzo au alama ya firewall huchagua jedwali ambalo chaguo-msingi lake linaelekea lango la WAN, huku miunganisho ya mwenyeji yenyewe ikiendelea kutumia handaki. Weka kipaumbele wazi ili sheria isifunikwe baadaye.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Amri mbili za kwanza hujenga njia mbadala kwa majibu yenye chanzo katika anwani ya umma. Ya tatu huluiza kernel ni njia gani chanzo na lengwa hilo mahususi litachukua, na hivyo unathibitisha kuwa sheria ina athari yoyote.

Tafsiri ya chanzo ni chaguo la tatu na pekee linalostahimili kipanga njia kinachofanya NAT mbele ya huduma tayari. Jibu lazima lirejee kipanga njia hicho, na ufichaji kwa kiolesura cha WAN hufanikisha hilo huku ukimficha mteja kutoka kumbukumbu za huduma. Kubadilisha njia chaguo-msingi kwa mkono baada ya kuunganisha ni uchunguzi, kwa sababu mteja huandika upya jedwali kwenye muunganisho unaofuata.

Wakati sanduku pia linaelekeza kwa LAN

Kushindwa huo huo huonekana hatua moja zaidi wakati mwenyeji anaelekeza kwa vifaa vilivyo nyuma yake. Muunganisho unaoingia hupelekwa kwa kifaa cha ndani ambacho njia yake pekee ya kurudi ni handaki, na jibu hufikia mteja wa nje kutoka anwani ya mtoa huduma. Kifaa cha ndani hufanya kazi ipasavyo muda wote.

Kisha ufuatiliaji wa miunganisho huona jibu la mtiririko ambao haukuuwahi kurekodi na kuutupa. Tafsiri ya lengwa huwasilisha muunganisho unaoingia kwa kifaa, na tafsiri ya chanzo hufanya jibu lionekane kama linatoka kwa kipanga njia yenyewe.

Njia ya sera inayohifadhi lango lililopelekwa kwenye WAN wakati trafiki ya kipanga njia yenyewe inatumia handaki ndiyo kifani safi zaidi. Bila tafsiri ya chanzo jibu linaelekezwa kwa mteja wa nje, na kifaa cha ndani hakina njia yoyote kwa anwani hiyo.

Uchunguzi tatu unaotenganisha sababu

Fanya uchunguzi tatu: muunganisho kuingia sandukuni kutoka interneti, muunganisho kutoka humo kwenda mwenyeji wa umma, na utafutaji wa jina. Wakati mbili za kwanza hazikubaliani, njia ya kurudi ndiyo yenye lawama. Wakati majina yanashindwa pande zote mbili, kitatuzi ni hitilafu nyingine inayoshiriki handaki tu.

Rekebisha kwanza suala la uelekezaji, kisha angalia majina. Kuchanganya yote mawili ndiyo njia ambayo seva inayofanya kazi hulaumiwa kwa kitatuzi kilichovunjika.

Andika ni kiolesura gani ambacho ubaguzi unakitaja na weka usanidi chini ya udhibiti wa toleo. Sheria iliyoandikwa dhidi ya kiolesura kinachopewa jina jingine baada ya uboreshaji hupita leo na kushindwa baada ya kuwasha upya kunakofuata.