VPN క్లయింట్ వెనుక ఉన్న సర్వర్ సొరంగం ద్వారా ఎందుకు సమాధానం ఇస్తుంది

VPN క్లయింట్ను కూడా నడిపించే హోస్ట్కు వచ్చే ఇన్బౌండ్ కనెక్షన్లు చాలా ప్రత్యేకమైన విధంగా విఫలమవుతాయి: హ్యాండ్షేక్ వస్తుంది, డీమన్ సమాధానం ఇస్తుంది, క్లయింట్కు ఏమీ తిరిగి రాదు. పోర్టును ఏదీ నిరోధించడం లేదు. సమాధానం సొరంగం ద్వారా బయటకు వెళ్లింది, ఎందుకంటే సొరంగం డిఫాల్ట్ మార్గాన్ని కలిగి ఉంది మరియు కర్నెల్ సమాధానాలను గమ్యం ప్రకారం రూట్ చేస్తుంది, అభ్యర్థన ఎక్కడి నుండి వచ్చిందనే జ్ఞాపకం ప్రకారం కాదు. ఆ ఒక్క మినహాయింపే తర్వాత వచ్చే ప్రతి లక్షణాన్ని వివరిస్తుంది.

సమాధానం రూట్ చేయబడుతుంది, గుర్తుంచుకోబడదు

డిఫాల్ట్ మార్గాన్ని ఇన్స్టాల్ చేసే VPN క్లయింట్ LAN గేట్వేను మించిపోయే ఎంట్రీని జోడిస్తుంది, మెట్రిక్ ద్వారా లేదా స్థలాన్ని మరింత నిర్దిష్టమైన రెండు భాగాలుగా విభజించడం ద్వారా. బయటకు వెళ్లే ప్యాకెట్లు ఇప్పుడు సొరంగ ఇంటర్ఫేస్ను ఎంచుకుంటాయి. సమాధానం ఇస్తున్న ప్యాకెట్ మొదట ఎక్కడి నుండి వచ్చిందో కర్నెల్ ఎప్పుడూ అడగదు. ఆ ఒక్క మినహాయింపే తర్వాత వచ్చే ప్రతి లక్షణాన్ని వివరిస్తుంది.

ముందు దిశ గమ్యం ప్రకారం రూట్ చేయబడుతుంది, వెనుక దిశ కూడా అలాగే. సమాధానం ఒక పబ్లిక్ క్లయింట్కు చిరునామా చేయబడింది, దాన్ని సొరంగం సంతోషంగా మోస్తుంది. దూరపు చివర తనది కాని మూలం ఉన్న ప్యాకెట్ను పొంది దాన్ని విసిరేస్తుంది, అసలు క్లయింట్ సమయం ముగిసే వరకు వేచి ఉంటుంది.

కఠినమైన రివర్స్-పాత్ ఫిల్టరింగ్ డీమన్ చదవకముందే ఇన్బౌండ్ ప్యాకెట్ను పడవేయవచ్చు. ముందు ఆ కౌంటర్ను చూడండి, ఎందుకంటే ఫిల్టర్ డ్రాప్ మరియు రూటింగ్ పొరపాటు బయటి నుండి ఒకేలా కనిపిస్తాయి.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

మొదటి ఆదేశం ఇప్పుడు ఏ డిఫాల్ట్ గెలుస్తోందో చూపిస్తుంది. రెండవది కఠినమైన ఫిల్టరింగ్ ప్రపంచవ్యాప్తంగా వర్తిస్తుందో లేదా ప్రతి ఇంటర్ఫేస్కు అని తెలియజేస్తుంది, మూడవది పాలుపంచుకోగల ఫార్వర్డ్ చైన్ యొక్క ఏదైనా నియమాన్ని చూపిస్తుంది.

తిరిగి వచ్చే మార్గాన్ని ఉంచుకోవడానికి మూడు మార్గాలు

సేవ యొక్క గమ్యాన్ని సొరంగం నుండి మినహాయించడం అత్యంత సన్నని ఎంపిక. LAN గేట్వే వైపు సూచించే హోస్ట్ మార్గం, దానితో పాటు ప్రతి చిరునామాకు బదులు భౌతిక చిరునామాకు కట్టుబడిన డీమన్, ఆ ఒక ప్రవాహాన్ని సొరంగం వెలుపల ఉంచుతాయి. మార్పు స్థానికమైనది మరియు తిరగగొట్టడం సులభం.

పాలసీ రూటింగ్ సాధారణ సమాధానం. మూల చిరునామా లేదా ఫైర్వాల్ గుర్తుపై కీలకం చేసిన నియమం, డిఫాల్ట్ WAN గేట్వే వైపు సూచించే పట్టికను ఎంచుకుంటుంది, హోస్ట్ యొక్క స్వంత కనెక్షన్లు సొరంగాన్ని ఉపయోగించడం కొనసాగిస్తాయి. ప్రాధాన్యతను స్పష్టంగా ఉంచండి, నియమం తర్వాత నీడపడకుండా.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

మొదటి రెండు ఆదేశాలు పబ్లిక్ చిరునామా నుండి వచ్చే సమాధానాలకు ప్రత్యామ్నాయ మార్గాన్ని నిర్మిస్తాయి. మూడవది సరిగ్గా ఆ మూలం మరియు గమ్యం ఏ మార్గం తీసుకుంటాయో కర్నెల్ను అడుగుతుంది, అలా నియమానికి ఏదైనా ప్రభావం ఉందని నిర్ధారిస్తారు.

మూల అనువాదం మూడవ ఎంపిక మరియు సేవకు ముందే NAT చేసే రౌటర్ ముందు నిలిచే ఏకైక ఎంపిక. సమాధానం ఆ రౌటర్కు తిరిగి వెళ్లాలి, WAN ఇంటర్ఫేస్కు మాస్కరేడింగ్ దాన్ని సాధిస్తుంది, అదే సమయంలో క్లయింట్ను సేవా లాగ్ల నుండి దాచుతుంది. కనెక్ట్ అయిన తర్వాత డిఫాల్ట్ మార్గాన్ని చేతితో మార్చడం ఒక నిర్ధారణ, ఎందుకంటే తదుపరి పునఃకనెక్షన్లో క్లయింట్ పట్టికను మళ్లీ రాస్తుంది.

బాక్స్ LAN కోసం కూడా రూట్ చేసినప్పుడు

అదే వైఫల్యం హోస్ట్ తన వెనుక ఉన్న పరికరాల కోసం రూట్ చేసినప్పుడు మరో హాప్ దూరంలో కనిపిస్తుంది. ఇన్బౌండ్ కనెక్షన్, తిరిగి వచ్చే మార్గం సొరంగం మాత్రమే అయిన లోపలి పరికరానికి పంపబడుతుంది, సమాధానం ప్రొవైడర్ చిరునామా నుండి బయటి క్లయింట్కు చేరుతుంది. లోపలి పరికరం అన్ని సమయాల్లో సరిగ్గా పని చేస్తోంది.

అప్పుడు కనెక్షన్ ట్రాకింగ్ ఎప్పుడూ నమోదు చేయని ప్రవాహానికి సమాధానాన్ని చూసి దాన్ని విసిరేస్తుంది. గమ్య అనువాదం ఇన్బౌండ్ కనెక్షన్ను పరికరానికి అందిస్తుంది, మూల అనువాదం సమాధానం రౌటర్ నుండే వచ్చినట్లు చూపిస్తుంది.

పంపిన పోర్టును WANలో ఉంచి, రౌటర్ స్వంత ట్రాఫిక్ సొరంగాన్ని ఉపయోగించే పాలసీ మార్గం మరింత శుభ్రమైన సమానం. మూల అనువాదం లేకుండా సమాధానం బయటి క్లయింట్కు చిరునామా చేయబడుతుంది, లోపలి పరికరానికి ఆ చిరునామాకు ఎలాంటి మార్గం లేదు.

కారణాలను వేరు చేసే మూడు పరీక్షలు

మూడు పరీక్షలు చేయండి: ఇంటర్నెట్ నుండి బాక్స్లోకి కనెక్షన్, అక్కడి నుండి పబ్లిక్ హోస్ట్కు కనెక్షన్, మరియు పేరు శోధన. మొదటి రెండు ఏకీభవించకపోతే తిరిగి వచ్చే మార్గమే దోషి. పేర్లు రెండు దిశల్లోనూ విఫలమైతే రిజాల్వర్ సొరంగాన్ని మాత్రమే పంచుకునే మరో లోపం.

మొదట రూటింగ్ ప్రశ్నను సరిచేయండి, తర్వాత పేర్లను చూడండి. రెండింటినీ కలపడమే పని చేస్తున్న సర్వర్ను చెడిన రిజాల్వర్ కోసం నిందించే మార్గం.

మినహాయింపు ఏ ఇంటర్ఫేస్ను పేర్కొంటుందో నమోదు చేయండి మరియు కాన్ఫిగరేషన్ను వెర్షన్ నియంత్రణలో ఉంచండి. అప్గ్రేడ్ తర్వాత పేరు మారే ఇంటర్ఫేస్కు వ్యతిరేకంగా రాసిన నియమం ఈరోజు ఉత్తీర్ణమవుతుంది మరియు తదుపరి రీబూట్ తర్వాత విఫలమవుతుంది.