Sinisira ba ng VPN client sa iyong web server ang mga sagot nito?

Naglo-load ang site mula sa laptop sa parehong network at nagtatapos sa oras mula sa lahat ng ibang lugar, at nagpapatakbo rin ang host ng VPN client para sa sarili nitong papalabas na trapiko. Ang kombinasyong iyon ay gumagawa ng tiyak na pagkabigo: dumarating ang papasok na koneksyon, lumalabas ang sagot sa maling landas, at hindi kailanman nakikita ng client sa labas ang sagot. Pareho lumilitaw ang dalawang hati sa isang packet capture, kaya ang pagkakasunod-sunod ng mga pangyayari ang bahaging sulit basahin.

Madalas ay inaayos ng rutang batay sa pinagmulan ang sintomas. Karaniwan din nitong inihihiwalay ang mas maraming trapiko kaysa sa site na nagtulak dito, at iyon ang bahaging sulit unawain bago mo i-save ang ruta.

Ang sintomas: sumasagot ito nang lokal at hindi mula sa labas

Sa loob ng network ay hindi kailangang tumawid ang sagot sa tunnel, kaya naglo-load ang pahina at mukhang malusog ang serbisyo. Mula sa labas, umaabot ang kahilingan sa host at ang sagot ay niruruta sa VPN, kung saan walang dahilan ang malayong dulo na tanggapin ito. Nakikita ng browser ang timeout sa halip na pagtanggi, na siyang tanda ng isang-daan na landas at hindi ng saradong port.

Tiyakin ang hugis bago mo baguhin ang ruta: buhay ang tagapakinig, matagumpay ang lokal na kahilingan, at walang sagot na ibinibigay ang panlabas na kahilingan. Ang tatlong obserbasyong iyon kapag pinagsama ay tumuturo sa landas ng pagbalik at hindi sa konfigurasyon ng web server. Ang ganitong kalinaw na asimetriya ay mas kapaki-pakinabang kaysa sa anumang linya ng log, dahil inaalis nito ang tagapakinig bago mo basahin ang kahit isang mensahe ng error.

Panatilihing bukas ang isang malayang landas ng pangangasiwa habang nagtatrabaho. Ang rutang sumisira sa sarili mong sesyon ng SSH ay ginagawang pisikal na pagbisita ang sampung minutong pag-aayos.

Ano ang aktuwal na itinatapat ng piling pinagmulan

Sa Linux policy routing, ang rutang tulad ng from 192.168.50.2 ay tumatapat sa mga packet na ang pinagmulan ay ang address na iyon. Hindi nito ine-encode na ang packet ay nagpapatuloy ng usapang pumasok sa home router, at hindi nito alam kung aling proseso ang gumawa nito. Ang address sa halimbawang iyon ay pantulong lamang; palitan ito ng address na aktuwal na ginagamit ng iyong host. Ituring ang linya bilang pahayag tungkol sa mga address at wala nang iba.

Kung ang piniling talahanayan ay nagbibigay ng ordinaryong default na ruta, maaaring kunin ng bawat packet na may ganoong pinagmulan ang parehong pagbubukod. Ang ibang serbisyong nakatali sa parehong address ay nagmamana nito, at ang aplikasyong sadyang nakatali sa address na iyon ay nagmamana rin nito. Ang sanggunian ng mga patakaran ay naglilista ng pinagmulan, destinasyon, protocol, port, marka at priyoridad bilang magkakahiwalay na pili, na nagpapaalala na ang pinagmulan lamang ang pinakagaspang na magagamit.

Ang priyoridad ang nagpapasya sa resulta. Ang mga paghahanap ay tumatakbo sa pagkakasunod-sunod at ang unang talahanayang nagbibigay ng resulta ay maaaring magtapos ng paghahanap, kaya ang rutang nailagay nang masyadong maaga ay maaaring magtago ng mas tiyak na landas na ibibigay ng susunod na talahanayan. Basahin ang buong nakaayos na listahan sa halip na ang nag-iisang linyang idinagdag mo. Ang rutang hindi kailanman tumatapat ay walang gastos, samantalang ang tumatapat nang masyadong maaga ay tahimik na binabago ang lahat sa likod nito.

Suriin ang landas ng pagbalik at ang trapikong hindi mo sinadya

Basahin ang mga ruta at talahanayan, pagkatapos tanungin ang kernel kung aling landas ang tatahakin ng isang tiyak na pares ng pinagmulan at destinasyon. Ang pagsubok mula sa host mismo ay hindi kapareho ng pagsubok mula sa labas, kaya gawin ang pareho.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Pagkatapos ay tanggapin ang isang bagong panlabas na koneksyon at, hiwalay, isang kahilingang kailangan pa ring lumabas sa VPN. Kung ang pangalawa ay direktang lumalabas ngayon, ang pagbubukod ay mas malawak kaysa sa problemang nilulutas mo, at ang mahalagang pagsubok ay ang hindi mo sinadyang baguhin.

Ang pagsuri ng pampublikong address sa browser ay nag-uulat lamang ng mga kahilingang ginawa ng browser na iyon. Wala itong sinasabi tungkol sa mga sagot ng web server, sa pagpili ng pinagmulan ng ibang lokal na aplikasyon, o sa nangyayari sa trapikong pangangasiwa pagkatapos ng susunod na muling pagkonekta ng VPN.

Magpasya kung gaano kakitid ang pagbubukod

Dalawang disenyo ang maipagtatanggol at dapat piliin nang sadya. Kung ang host ay umiiral upang ilathala ang serbisyong ito at hindi mahalaga ang papalabas na trapiko nito, ang dedikadong lokal na address na may patakarang para sa WAN lamang ay makatwirang kaayusan basta tanggapin mo ang buong saklaw. Kung tanging ilang partikular na papasok na koneksyon ang dapat maging karapat-dapat, ang pagpili ng address ay masyadong magaspang at dapat may disenyong may kamalayan sa koneksyon sa harap nito.

Itala ang kontratang pinagkakatiwalaan mo: ang pampublikong pagmamapa, ang address ng host na pinaghahatiran ng kahilingan, at ang landas na dapat tahakin ng sagot. Ang papasok na serbisyong inilathala sa pamamagitan ng tagapagbigay ng VPN ay ibang kontrata kaysa sa inilathala sa pamamagitan ng home router, at ang pagbubukod na kinopya mula sa isang halimbawa ay madalas mali para sa isa.

Panatilihin ang patakaran sa sangkap na nagmamay-ari ng ruta sa halip na i-paste ang utos sa isang startup file. Ang pagkakasunod-sunod ng ruta, paglilinis pagkatapos ng pagbabago ng network at pag-uulit pagkatapos ng reboot ay dapat lahat mabuhay, at ang hindi nasubok na startup file ay karaniwang nabigo sa sandaling hindi ka nakatingin. Tapusin sa resulta ng pagtanggap na maipagtatanggol mo: isang nailathalang site ang naibalik at isang walang kaugnayang daloy ang hindi nagbago.