Web sunucunuzdaki VPN istemcisi yanıtlarını bozuyor mu?

Site aynı ağdaki bir dizüstü bilgisayardan yükleniyor, başka her yerden ise zaman aşımına uğruyor ve ana bilgisayar kendi giden trafiği için bir VPN istemcisi de çalıştırıyor. Bu bileşim belirli bir arızaya yol açar: gelen bağlantı ulaşır, yanıt yanlış yoldan çıkar ve dışarıdaki istemci hiçbir zaman yanıt görmez. İki yarı da aynı paket yakalamada görünür, dolayısıyla okumaya değer kısım olayların sırasıdır.

Kaynak tabanlı bir yönlendirme kuralı çoğu zaman belirtiyi giderir. Genellikle onu tetikleyen siteden daha fazla trafiği de muaf tutar ve kuralı kaydetmeden önce anlaşılması gereken kısım tam olarak budur.

Belirti: yerelde yanıt veriyor, dışarıdan vermiyor

Ağın içinde yanıtın tünelden geçmesi gerekmez, bu yüzden sayfa yüklenir ve hizmet sağlıklı görünür. Dışarıdan istek ana bilgisayara ulaşır ve yanıt VPN'e yönlendirilir; orada uzak ucun onu kabul etmek için hiçbir nedeni yoktur. Tarayıcı ret yerine zaman aşımı görür; bu kapalı bir bağlantı noktasının değil, tek yönlü bir yolun işaretidir.

Yönlendirmeyi değiştirmeden önce şekli doğrulayın: dinleyici ayakta, yerel istek başarılı ve dış istek hiçbir yanıt üretmiyor. Bu üç gözlem birlikte web sunucusu yapılandırmasına değil, dönüş yoluna işaret eder. Bu kadar temiz bir asimetri herhangi bir günlük satırından daha yararlıdır, çünkü tek bir hata iletisi okumadan önce dinleyiciyi dışarıda bırakır.

Çalışırken bağımsız bir yönetim yolu açık tutun. Kendi SSH oturumunuzu bozan bir kural, on dakikalık bir düzeltmeyi fiziksel bir ziyarete dönüştürür.

Kaynak seçicisi gerçekte neyle eşleşir

Linux ilke yönlendirmesinde, from 192.168.50.2 gibi bir kural kaynağı o adres olan paketlerle eşleşir. Paketin ev yönlendiricisinden giren bir konuşmayı sürdürdüğü gerçeğini kodlamaz ve onu hangi sürecin oluşturduğunu bilmez. Bu örnekteki adres örnektir; ana bilgisayarınızın gerçekte kullandığı adresle değiştirin. Satırı adresler hakkında bir ifade olarak görün, daha fazlası değil.

Seçilen tablo sıradan bir varsayılan yol sağlıyorsa, o kaynağı taşıyan her paket aynı istisnayı alabilir. Aynı adrese bağlı başka bir hizmet de onu devralır ve o adrese bilerek bağlanan bir uygulama da devralır. İlke kuralları başvurusu kaynak, hedef, protokol, bağlantı noktası, işaret ve önceliği ayrı seçiciler olarak listeler; bu da tek başına kaynağın mevcut en kaba seçici olduğunu hatırlatır.

Sonucu öncelik belirler. Aramalar sırayla yürür ve sonuç veren ilk tablo aramayı bitirebilir, bu yüzden çok erken yerleştirilen bir kural, sonraki bir tablonun sağlayacağı daha özel bir yolu gizleyebilir. Eklediğiniz tek satır yerine tüm sıralı listeyi okuyun. Hiç eşleşmeyen bir kural hiçbir şeye mal olmaz, çok erken eşleşen ise arkasındaki her şeyi sessizce değiştirir.

Dönüş yolunu ve amaçlamadığınız trafiği kontrol edin

Kuralları ve tabloları okuyun, ardından çekirdeğe belirli bir kaynak-hedef çiftinin hangi yolu izleyeceğini sorun. Ana bilgisayarın kendisinden test etmek dışarıdan test etmekle aynı değildir, bu yüzden ikisini de yapın.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

Ardından yeni bir dış bağlantıyı ve ayrı olarak hâlâ VPN üzerinden çıkması gereken bir isteği kabul edin. İkincisi artık doğrudan çıkıyorsa, istisna çözdüğünüz sorundan daha geniştir ve önemli olan test, değiştirmeyi amaçlamadığınız testtir.

Bir tarayıcıdaki genel adres kontrolü yalnızca o tarayıcının yaptığı istekleri bildirir. Web sunucusunun yanıtları, başka bir yerel uygulamanın kaynak seçimi veya bir sonraki VPN yeniden bağlanmasından sonra yönetim trafiğine ne olduğu hakkında hiçbir şey söylemez.

İstisnanın ne kadar dar olabileceğine karar verin

İki tasarım savunulabilir ve bunlar bilinçli olarak seçilmelidir. Ana bilgisayar yalnızca bu hizmeti yayınlamak için varsa ve giden trafiği önemli değilse, yalnızca WAN için bir ilkeye sahip özel bir yerel adres, tüm kapsamı kabul etmeniz koşuluyla makul bir düzenlemedir. Yalnızca belirli gelen bağlantılar uygun olacaksa, adres seçimi çok kabadır ve önünde bağlantıların farkında olan bir tasarım bulunmalıdır.

Güvendiğiniz sözleşmeyi kaydedin: genel eşleme, isteğin teslim edildiği ana bilgisayar adresi ve yanıtın izlemesi beklenen yol. Bir VPN sağlayıcısı üzerinden yayınlanan gelen hizmet, bir ev yönlendiricisi üzerinden yayınlanandan farklı bir sözleşmedir ve bir örnekten kopyalanan istisna çoğu zaman diğeri için yanlıştır.

İlkeyi, komutu bir başlangıç dosyasına yapıştırmak yerine yönlendirmenin sahibi olan bileşende saklayın. Kural sırası, ağ değişikliğinden sonra temizlik ve yeniden başlatmadan sonra yeniden uygulama hepsi hayatta kalmalıdır ve test edilmemiş bir başlangıç dosyası genellikle tam bakmadığınız anda başarısız olur. Savunabileceğiniz kabul sonucuyla bitirin: bir yayınlanmış site geri yüklendi ve ilgisiz bir akış değişmeden kaldı.