Kwa nini wateja wa Access Server hawafikiki kutoka LAN

Kompyuta mpakato inaunganisha, handaki iko juu, na maombi kwa huduma ya ndani yananing'inia wakati wa kuunganisha. Kwenye huduma yenyewe ombi linafika kutoka anwani kama 10.90.0.25, jibu linatoka kuelekea lango la chaguo-msingi, na hakuna kinachorudi, kwa sababu lango hilo halijui 10.90.0.25 iko wapi. Kutoka upande mwingine hitilafu hiyo hiyo inaonekana kama mwenyeji wa ndani asiyeweza kupiga ping mteja aliyeunganishwa. Zote mbili ni kitu kimoja kinachokosekana: njia ya kurudi kwenye bwawa la wateja wa VPN, ambayo ni mtandao wa kibinafsi tu unaoweza kuiongeza.

Soma anwani ya chanzo ambayo huduma inaiona

Sehemu hiyo moja huamua kila kitu kingine. Ikiwa huduma ya ndani inaona anwani ya bwawa, Access Server inaelekeza badala ya kuficha trafiki ya wateja, na kila jibu lazima lielekezwe kurudi kwenye bwawa. Ikiwa badala yake inaona anwani ya kibinafsi ya seva yenyewe, seva inafanya masquerade na njia ya kurudi inafanya kazi tayari, lakini kwa gharama ya kupoteza utambulisho wa kila mteja kwenye kumbukumbu na kanuni za ufikiaji za huduma.

Linganisha pande zote mbili kabla ya kubadilisha chochote. Kwenye seva, orodhesha violesura vya handaki na anwani zake; kwenye mteja, thibitisha ni anwani ipi kati ya hizo anayo kweli; kwenye mwenyeji wa ndani, angalia muunganisho hai.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Amri ya mwisho ni ile inayoshindwa katika hali iliyovunjika: ama inaripoti kiambishi cha handaki kuwa hakiwezi kufikiwa au, mbaya zaidi, inarudisha lango lako la chaguo-msingi, na hivyo majibu yanaishia kwenye intaneti.

Usidhani kuna bwawa moja tu. Seva inaweza kuwa na masafa yanayobadilika pamoja na ramani tuli za kila mtumiaji, na anwani tuli inaweza kuwa nje kabisa ya kiambishi kinachobadilika. Ikiwa unaelekeza masafa unayokumbuka tu, watumiaji wenye anwani zisizobadilika wanabaki wamevunjika na kila mtu mwingine anaripoti tatizo limetatuliwa.

Ongeza njia mahali ambapo jibu huamuliwa

Njia ni ya lango ambalo huduma ya ndani inatumia tayari, si ya huduma, isipokuwa huduma yenyewe inaelekeza trafiki yake. Ielekeze kwenye anwani ya kibinafsi ya Access Server inayofikika, ambayo ni thamani tofauti na anwani ya handaki aliyo nayo mteja.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Katika mtandao wa wingu kauli hiyo hiyo inakuwa kiingilio cha jedwali la njia ambacho lengo lake ni instance au violesura vya mtandao vinavyoendesha seva, huku ukaguzi wa chanzo na lengo umezimwa kwenye violesura hivyo. Angalia kile kiingilio hicho hakifanyi: njia si ruhusa ya ufikiaji, kwa hiyo vikundi vya usalama, ACL za mtandao na firewall ya mwenyeji bado lazima ziruhusu trafiki.

Ifanye idumu, na uweke ukubwa wa mabwawa kwa uaminifu. Mabwawa mawili yasiyoshikamana yanahitaji njia mbili, na bwawa linalokua zaidi ya kiambishi chake kilichosanidiwa huzalisha kwa kimya wateja ambao majibu yao hayana mahali pa kwenda. Ikiwa unadhibiti masafa ya mabwawa, chagua muhtasari unaoweza kuelekeza mara moja na kuuacha.

Usambazaji na vichujio lazima vilingane na njia

Uelekezaji ni nusu ya njia tu. Seva lazima iruhusiwe kusambaza kati ya handaki na violesura vya kibinafsi, ambayo kwenye Linux inamaanisha net.ipv4.ip_forward pamoja na mnyororo wa usambazaji unaoruhusu jozi ya violesura, na kwenye mwenyeji mgumu kwa kawaida kanuni dhahiri kwa kila mwelekeo.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Uchujaji wenye hali unaeleza dalili inayowapeleka watu kwenye njia isiyo sahihi. Jibu ndani ya mtiririko uliothibitishwa halihitaji kanuni mpya ya kuingia, kwa hiyo muunganisho unaoning'inia baada ya SYN-ACK hauzuiliwi na kanuni ya kukubali inayokosekana; unatupwa au unaelekezwa vibaya. Weka tofauti hiyo, kwa sababu inatenganisha mabadiliko ya uelekezaji na mabadiliko ya firewall.

Njia za kurudi zisizo na ulinganifu ni toleo la utulivu zaidi la tatizo hilo hilo. Ikiwa njia mbili zinafika kwenye bwawa na jibu linachukua lile linalotoka kwenye violesura tofauti na lile ambalo ombi liliingia, uchujaji mkali wa njia ya kurudi unalitupa na mtiririko unashindwa kwa wateja wengine tu.

Imeelekezwa au imefichwa: chagua kwa makusudi

Hali ya uelekezaji huhifadhi anwani ya bwawa la mteja kwenye huduma, ambayo hufanya uwekaji kumbukumbu na sera kwa kila mteja iwezekane, na kwa kubadilishana kila mtandao wa ndani unaopaswa kumjibu mteja unahitaji njia ya bwawa. Hali ya masquerade huondoa hitaji hilo kwa sababu majibu yanarudi kwenye seva, lakini huduma haiwezi tena kutofautisha mteja mmoja na mwingine na haiwezi kuanzisha chochote kuelekea mteja maalum.

Kubadilisha tabia hiyo kwenye seva inayofanya kazi hukata vikao vilivyopo, kwa hiyo jaribu kwanza na mteja mmoja na mtiririko mmoja. Ikiwa mabadiliko ni jibu sahihi, ni uamuzi wa usanidi kwenye seva, si kitu kinachokwepeshwa kwa kuongeza njia ambazo zitakuwa hazihitajiki.

Subneti iliyo nyuma ya mteja ni kazi tofauti

Kufikia kifaa kwenye LAN ya kompyuta mpakato yenyewe si sawa na kufikia anwani ya handaki ya kompyuta mpakato. Inahitaji mteja afanye kazi kama lango la subneti: mtandao uliotangazwa upande wa mteja, usambazaji umewezeshwa katika mfumo wa uendeshaji wa mteja, na njia kwenye LAN hiyo kurudi kwa mteja. Kuongeza njia ya mtandao wa kibinafsi kwa masafa ya nyumbani ya kompyuta mpakato hakufanyi hivi, na huleta migongano wakati watumiaji wawili wana masafa sawa ya nyumbani.

Mwelekeo pia ni suala la sera. Ruhusa kwa mteja kufungua muunganisho kwa huduma ya ndani haimruhusu kiotomatiki mwenyeji wa ndani kufungua muunganisho kwa mteja huyo. Angalia sera ya ufikiaji ya seva na firewall ya mwenyeji wa mteja kabla ya kuhitimisha kuwa njia imevunjika.

Thibitisha kwa mtiririko mmoja na kamatisho moja

Thibitisha njia kwa muunganisho mmoja badala ya jaribio la jumla la ufikikaji. Angalia mtiririko huo huo kwenye pande zote mbili: ombi linalofika kwenye huduma na jibu linaloondoka.

tcpdump -ni any host 10.90.0.25 and port 443

Kabla ya marekebisho kamatisho linaonyesha jibu likitoka kuelekea lango ambalo halitaelekeza. Baada ya marekebisho jibu linatoka kuelekea seva na mtiririko unakamilika. Kisha thibitisha njia ambayo lango lingetumia kwa anwani ya pili ya mteja, ili bwawa usilolifunika lionekane sasa na si baada ya wiki.

Maliza kwa ukaguzi nne unaofunga jambo hili: anwani ya chanzo kwenye huduma inalingana na hali uliyokusudia, lango lina njia kwa kila bwawa linalotumika, usambazaji na vichujio vinaruhusu pande zote mbili, na mtiririko mmoja halisi unakamilika kutoka mwanzo hadi mwisho. Maswali yanayoulizwa mara kwa mara kuhusu uelekezaji wa Access Server inaeleza kanuni hiyo hiyo kwa toleo lililosakinwa, ambalo violesura vyake vya usanidi vinavyotumika vinaweza kutofautiana na miongozo ya zamani.