Access Server క్లయింట్లు LAN నుండి ఎందుకు చేరుకోలేరు
రూట్ చేసిన క్లయింట్లు తమ పూల్ చిరునామాను నిలుపుకుంటాయి, కాబట్టి ప్రతిస్పందనలకు తిరిగి వెళ్లే మార్గం అవసరం. సేవలో మూలాన్ని చదివి, ఆపై సరైన గేట్‌వేలో పూల్ మార్గాన్ని జోడించండి.
ల్యాప్‌టాప్ కనెక్ట్ అవుతుంది, టన్నెల్ పనిచేస్తోంది, మరియు అంతర్గత సేవకు వెళ్లే అభ్యర్థనలు కనెక్ట్ అయ్యే సమయంలో వేలాడుతాయి. సేవలోనే అభ్యర్థన 10.90.0.25 లాంటి చిరునామా నుండి వస్తుంది, ప్రతిస్పందన డిఫాల్ట్ గేట్‌వే వైపు వెళుతుంది, ఏమీ తిరిగి రాదు, ఎందుకంటే ఆ గేట్‌వేకు 10.90.0.25 ఎక్కడ ఉందో తెలియదు. మరొక వైపు నుండి అదే లోపం కనెక్ట్ అయిన క్లయింట్‌కు ping చేయలేని అంతర్గత హోస్ట్‌లా కనిపిస్తుంది. రెండూ ఒకే ఒక మిస్ అయిన వస్తువు: VPN క్లయింట్ పూల్‌కు తిరిగి వెళ్లే మార్గం, దాన్ని ప్రైవేట్ నెట్‌వర్క్ మాత్రమే జోడించగలదు.
సేవ చూసే మూల చిరునామాను చదవండి
ఆ ఒకే ఫీల్డ్ మిగతా అన్నింటినీ నిర్ణయిస్తుంది. అంతర్గత సేవ పూల్ చిరునామాను చూస్తే, Access Server క్లయింట్ ట్రాఫిక్‌ను దాచకుండా రూట్ చేస్తోంది, ప్రతి ప్రతిస్పందన పూల్‌కు తిరిగి రూట్ చేయాలి. బదులుగా అది సర్వర్ యొక్క సొంత ప్రైవేట్ చిరునామాను చూస్తే, సర్వర్ masquerade చేస్తోంది మరియు తిరిగి వెళ్లే మార్గం ఇప్పటికే పనిచేస్తోంది, కానీ సేవ యొక్క లాగ్‌లు మరియు యాక్సెస్ నియమాలలో ప్రతి క్లయింట్ గుర్తింపు పోయే ధరతో.
ఏదైనా మార్చడానికి ముందు రెండు చివరలను పోల్చండి. సర్వర్‌లో టన్నెల్ ఇంటర్‌ఫేస్‌లు మరియు వాటి చిరునామాలను జాబితా చేయండి; క్లయింట్‌లో అది నిజంగా ఏ చిరునామాను కలిగి ఉందో నిర్ధారించండి; అంతర్గత హోస్ట్‌లో క్రియాశీల కనెక్షన్‌ను చూడండి.
ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25చివరి ఆదేశమే విరిగిన సందర్భంలో విఫలమవుతుంది: అది టన్నెల్ ప్రిఫిక్స్‌ను చేరుకోలేనిదిగా నివేదిస్తుంది, లేదా, అంతకంటే దారుణంగా, మీ డిఫాల్ట్ గేట్‌వేను తిరిగి ఇస్తుంది, అలాగే ప్రతిస్పందనలు ఇంటర్నెట్‌కు చేరుతాయి.
ఒకే పూల్ ఉందని ఊహించవద్దు. సర్వర్‌లో డైనమిక్ పరిధితో పాటు ప్రతి వినియోగదారుకు స్థిర మ్యాపింగ్‌లు ఉండవచ్చు, మరియు స్థిర చిరునామా డైనమిక్ ప్రిఫిక్స్ వెలుపల పూర్తిగా ఉండవచ్చు. మీకు గుర్తున్న పరిధిని మాత్రమే రూట్ చేస్తే, స్థిర చిరునామాలు ఉన్న వినియోగదారులు విరిగినవారే ఉంటారు మరియు మిగతా అందరూ సమస్య పరిష్కారమైందని నివేదిస్తారు.
ప్రతిస్పందన నిర్ణయించబడే చోట మార్గాన్ని జోడించండి
మార్గం అంతర్గత సేవ ఇప్పటికే ఉపయోగిస్తున్న గేట్‌వేకు చెందుతుంది, సేవకు కాదు, సేవ తన ట్రాఫిక్‌ను తానే రూట్ చేయకపోతే. దాన్ని Access Server యొక్క చేరుకోగల ప్రైవేట్ చిరునామా వైపు మళ్లించండి, అది క్లయింట్ కలిగి ఉన్న టన్నెల్ చిరునామా కంటే భిన్నమైన విలువ.
ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25క్లౌడ్ నెట్‌వర్క్‌లో అదే ప్రకటన రూట్ పట్టికలోని ఎంట్రీగా మారుతుంది, దాని లక్ష్యం సర్వర్ నడుస్తున్న ఇన్‌స్టాన్స్ లేదా నెట్‌వర్క్ ఇంటర్‌ఫేస్, ఆ ఇంటర్‌ఫేస్‌పై మూలం మరియు గమ్యం తనిఖీ నిలిపివేయబడుతుంది. ఆ ఎంట్రీ ఏమి చేయదో గమనించండి: మార్గం అనేది యాక్సెస్ ఇవ్వడం కాదు, కాబట్టి భద్రతా సమూహాలు, నెట్‌వర్క్ ACL మరియు హోస్ట్ ఫైర్‌వాల్ ఇప్పటికీ ట్రాఫిక్‌ను అనుమతించాలి.
దాన్ని శాశ్వతంగా చేయండి, పూల్‌ల పరిమాణాలను నిజాయితీగా ఉంచండి. ప్రక్కప్రక్కన లేని రెండు పూల్‌లకు రెండు మార్గాలు అవసరం, మరియు కాన్ఫిగర్ చేసిన ప్రిఫిక్స్‌ను దాటి పెరిగే పూల్ ప్రతిస్పందనలకు వెళ్లే చోటు లేని క్లయింట్‌లను నిశ్శబ్దంగా సృష్టిస్తుంది. పూల్ పరిధులను మీరు నియంత్రిస్తే, ఒకసారి రూట్ చేసి వదిలేయగల సారాంశాన్ని ఎంచుకోండి.
ఫార్వర్డింగ్ మరియు ఫిల్టర్‌లు మార్గంతో సరిపోలాలి
రూటింగ్ మార్గంలో సగం మాత్రమే. సర్వర్ టన్నెల్ మరియు ప్రైవేట్ ఇంటర్‌ఫేస్ మధ్య ఫార్వర్డ్ చేయడానికి అనుమతి ఉండాలి, లినక్స్‌లో ఇది net.ipv4.ip_forward మరియు ఇంటర్‌ఫేస్ జతకు అనుమతించే ఫార్వర్డ్ చైన్ అని అర్థం, మరియు గట్టిపరిచిన హోస్ట్‌లో సాధారణంగా ప్రతి దిశకు స్పష్టమైన నియమం.
sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forwardస్థితి ఆధారিత ఫిల్టరింగ్ ప్రజలను తప్పు మార్గంలోకి తీసుకెళ్లే లక్షణాన్ని వివరిస్తుంది. స్థాపించిన ప్రవాహంలోని ప్రతిస్పందనకు కొత్త ఇన్‌బౌండ్ నియమం అవసరం లేదు, కాబట్టి SYN-ACK తర్వాత వేలాడే కనెక్షన్ మిస్ అయిన అంగీకార నియమంతో బ్లాక్ అవ్వడం లేదు; అది విసిరివేయబడుతుంది లేదా తప్పుగా రూట్ అవుతుంది. ఆ భేదాన్ని ఉంచండి, ఎందుకంటే అది రూటింగ్ మార్పును ఫైర్‌వాల్ మార్పు నుండి వేరు చేస్తుంది.
అసమాన తిరిగి వెళ్లే మార్గాలు అదే సమస్య యొక్క ప్రశాంత రూపం. పూల్‌కు రెండు మార్గాలు చేరి, అభ్యర్థన వచ్చిన ఇంటర్‌ఫేస్ కంటే వేరే ఇంటర్‌ఫేస్ ద్వారా ప్రతిస్పందన వెళ్తే, కఠినమైన రివర్స్-పాత్ ఫిల్టరింగ్ దాన్ని విసిరివేస్తుంది మరియు కొన్ని క్లయింట్లకు మాత్రమే ప్రవాహం విఫలమవుతుంది.
రూటెడ్ లేదా మాస్క్ చేసినది: ఉద్దేశపూర్వకంగా ఎంచుకోండి
రూటెడ్ మోడ్ సేవలో క్లయింట్ పూల్ చిరునామాను కాపాడుతుంది, ఇది ప్రతి క్లయింట్‌కు లాగింగ్ మరియు విధానాన్ని సాధ్యం చేస్తుంది, బదులుగా క్లయింట్‌కు ప్రతిస్పందించాల్సిన ప్రతి అంతర్గత నెట్‌వర్క్‌కు పూల్ మార్గం అవసరం. మాస్క్ చేసిన మోడ్ ఆ అవసరాన్ని తొలగిస్తుంది ఎందుకంటే ప్రతిస్పందనలు సర్వర్‌కు తిరిగి వస్తాయి, కానీ సేవ ఇకపై ఒక క్లయింట్‌ను మరొకరి నుండి వేరు చేయలేదు మరియు నిర్దిష్ట క్లయింట్ వైపు ఏదీ ప్రారంభించలేదు.
నడుస్తున్న సర్వర్‌లో ఆ ప్రవర్తనను మార్చడం ఇప్పటికే ఉన్న సెషన్‌లను తెగతెంపులు చేస్తుంది, కాబట్టి మొదట ఒక క్లయింట్ మరియు ఒక ప్రవాహంతో పరీక్షించండి. మార్పే సరైన సమాధానమైతే, అది సర్వర్‌లో కాన్ఫిగరేషన్ నిర్ణయం, తర్వాత అనవసరమయ్యే మార్గాలను జోడించి తప్పించుకోవలసిన విషయం కాదు.
క్లయింట్ వెనుక ఉన్న సబ్‌నెట్ వేరే పని
ల్యాప్‌టాప్ యొక్క సొంత LAN లోని పరికరాన్ని చేరుకోవడం ల్యాప్‌టాప్ యొక్క టన్నెల్ చిరునామాను చేరుకోవడంతో సమానం కాదు. దానికి క్లయింట్ సబ్‌నెట్ గేట్‌వేగా పనిచేయాలి: క్లయింట్ వైపు ప్రకటించిన నెట్‌వర్క్, క్లయింట్ ఆపరేటింగ్ సిస్టమ్లో ఫార్వర్డింగ్ ప్రారంభించబడటం, మరియు ఆ LAN లో క్లయింట్ వైపు తిరిగి వెళ్లే మార్గం. ల్యాప్‌టాప్ ఇంటి పరిధి కోసం ప్రైవేట్ నెట్‌వర్క్ మార్గాన్ని జోడించడం ఇది చేయదు, మరియు ఇద్దరు వినియోగదారులకు ఒకే ఇంటి పరిధి ఉన్నప్పుడు ఘర్షణలను సృష్టిస్తుంది.
దిశ కూడా విధాన ప్రశ్న. క్లయింట్ అంతర్గత సేవకు కనెక్షన్ తెరవడానికి ఇచ్చిన అనుమతి ఆటోమేటిక్‌గా అంతర్గత హోస్ట్‌కు ఆ క్లయింట్‌కు కనెక్షన్ తెరవడానికి అనుమతి ఇవ్వదు. మార్గం విరిగిందని నిర్ధారించే ముందు సర్వర్ యాక్సెస్ విధానాన్ని మరియు క్లయింట్ హోస్ట్ ఫైర్‌వాల్‌ను తనిఖీ చేయండి.
ఒక ప్రవాహం మరియు ఒక క్యాప్చర్‌తో ధృవీకరించండి
సాధారణ చేరుకోగలిగే పరీక్షకు బదులుగా ఒకే కనెక్షన్‌తో మార్గాన్ని నిరూపించండి. రెండు చివరలలో అదే ప్రవాహాన్ని గమనించండి: సేవకు వచ్చే అభ్యర్థన మరియు దాన్ని విడిచిపెట్టే ప్రతిస్పందన.
tcpdump -ni any host 10.90.0.25 and port 443సరిదిద్దడానికి ముందు క్యాప్చర్ ప్రతిస్పందన రూట్ చేయని గేట్‌వే వైపు వెళ్తున్నట్లు చూపిస్తుంది. సరిదిద్దిన తర్వాత ప్రతిస్పందన సర్వర్ వైపు వెళుతుంది మరియు ప్రవాహం పూర్తవుతుంది. ఆపై మీరు కవర్ చేయని పూల్ వారం తర్వాత కాకుండా ఇప్పుడే కనిపించడానికి, రెండవ క్లయింట్ చిరునామా కోసం గేట్‌వే ఉపయోగించే మార్గాన్ని నిర్ధారించండి.
దీన్ని ముగించే నాలుగు తనిఖీలతో ముగించండి: సేవలోని మూల చిరునామా మీరు ఉద్దేశించిన మోడ్‌తో సరిపోతుంది, గేట్‌వే ఉపయోగంలో ఉన్న ప్రతి పూల్‌కు మార్గాన్ని కలిగి ఉంది, ఫార్వర్డింగ్ మరియు ఫిల్టర్‌లు రెండు దిశలను అనుమతిస్తాయి, మరియు ఒక నిజమైన ప్రవాహం ప్రారంభం నుండి ముగింపు వరకు పూర్తవుతుంది. Access Server రూటింగ్ గురించి తరచుగా అడిగే ప్రశ్నలు ఇన్‌స్టాల్ చేసిన విడుదల కోసం అదే సూత్రాన్ని తెలియజేస్తుంది, దాని మద్దతు ఉన్న కాన్ఫిగరేషన్ ఇంటర్‌ఫేస్ పాత మార్గదర్శకాలకు భిన్నంగా ఉండవచ్చు.