VPN istemcisi bağlandığında web sunucusu kayboluyor

Bir VPN istemcisi bağlandığı anda kaybolan bir hizmet genellikle engellenmiyor, yanlış arayüzden yanıt veriyor. İstek fiziksel ağ kartına gelir, daemon bir yanıt yazar ve yönlendirme tablosu bu yanıtı tünele verir, çünkü tünel varsayılan rotayı devralmıştır. Uzak istemci açtığı bir bağlantıya yanıtı asla görmez, bu yüzden bekler ve ardından zaman aşımı bildirir. Bu dizide hiçbir yerde bir güvenlik duvarı kuralı yer almaz.

Belirti: istekler içeri, yanıtlar yanlış kapıdan dışarı

İşaret, ana makinedeki her şey çalışırken başarısız olan gelen bir bağlantıdır. Bir başka işaret, LAN'dan erişilebilen ancak internetten erişilemeyen bir makine veya tünel yeniden bağlanana kadar çalışıp sonra duran bir makinedir. Her durumda ileri yön doğru davrandı, dönüş yönü davranmadı; bu da ilkeye değil yönlendirme asimetrisine işaret eder.

Yanıtın nereye gittiğini izleyerek bunu doğrulayın, isteğin nasıl geldiğini izleyerek değil.

Fiziksel arayüzde ve tünel aygıtında aynı anda yakalayın. İstek fiziksel arayüzde, yanıt tünelde görünüyorsa teşhis tamamdır. Hiçbir yerde görünmeyen bir yanıt, hizmetin bağlantıyı hiç kabul etmediği anlamına gelir; bu, ayrı bir nedeni olan ayrı bir incelemedir.

İki varsayılan rota ve tek bir yönlendirme kararı

Varsayılan rota kuran bir istemci, LAN ağ geçidinden daha iyi ölçütlü ikinci bir girdi ekler. Bazı istemciler bunun yerine yarım aralıklı iki rota kurar; bunlar aynı alanı daha belirgin biçimde kapsar ve aramayı aynı şekilde kazanır. Her iki teknik de sıradan giden paketlerin tünel arayüzünü seçmesine izin verir.

Bu seçim yalnızca hedefe göre yapılır. Çekirdek bir ilke kuralı emretmedikçe paketin nereden geldiğini sormaz. Böylece genel bir istemci adresine verilen yanıt tünele verilir; tünelin uzak ucu, kendisine ait olmayan bir kaynak adresli paket alır ve onu atar ya da işe yaramaz bir yere iletir. Linux'ta katı ters yol filtresi, hizmetiniz onu görmeden önce özgün isteği de düşürebilir; bu dışarıdan aynı görünür. Her iki belirti de gelen akış ile yanıtı arasındaki aynı eksik ilişkiden kaynaklanır.

Tünel baştan sona doğru davranır. Ona varsayılan rotayı taşıması söylendi ve tam olarak bunu yapıyor.

Tüneli bozmadan dönüş yolunu onarın

Üç kalıcı onarım biçimi vardır ve seçim, ana makinenin kendi trafiğinin ne kadarının tünelin içinde kalması gerektiğine bağlıdır. Hizmetin hedefini veya bağlantı noktasını hariç tutmak en küçük değişikliktir. Kaynağa veya işarete göre ilke yönlendirmesi en kesin olanıdır. Kaynak çevirisi en kaba olanıdır ve iki yıl sonra açıklaması en kolay olanıdır.

Ana makinenin ne yapması gerektiğine göre seçin, ilk bulduğunuz parçaya göre değil.

Bir hedefi hariç tutmak kararlı genel adresi olan bir hizmete uygundur ve daemonu her adrese değil fiziksel adrese bağlamak bu hariç tutmayı daha güvenli kılar. Tabloyu kaynağa göre seçen bir ilke kuralı, ana makinenin kendi bağlantılarını tünelin içinde tutarken hizmetin yanıtlarını WAN ağ geçidi üzerinden geri gönderir. Yanıtları WAN arayüzünde maskelemek aynı yola ulaşır, ancak istemcinin adresini hizmet günlüklerinden gizlemek pahasına. Varsayılan rotanın doğaçlama değiştirilmesi bir teşhistir, yapılandırma değildir, çünkü istemci her yeniden bağlanmada rotaları yeniden yazar.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Ana makine arkasındaki bir LAN için de yönlendirme yaptığında

Bir sıçrama daha dışarıda, aynı asimetri daha fazla hareketli parçayla geri döner. Trafik internetteki yönlendiriciye ulaşır, iç bir aygıta iletilir ve o aygıtın tek dönüş yolu tüneldir, bu yüzden yanıt özgün istemciye sağlayıcının kendi adresinden ulaşır. Ardından bağlantı izleme, başlangıcını görmediği bir akış için bir yanıtla karşılaşır ve onu atar. İstemci bu arada hiçbir şey görmez.

İki değişiklik bunu onarır: gelen bağlantının iç aygıta ulaşması için hedef çevirisi ve o aygıtın yanıtının yönlendiricinin kendisinden geliyormuş gibi görünmesi için kaynak çevirisi.

Yönlendirici belleniminde olağan ifade, bağlantı noktası yönlendirmesini WAN tarafına sabitleyen bir ilke kuralıdır; yönlendiricinin kendi trafiği ise tünelden gider. Kaynak çevirisi olmadan bu yanıt dış istemciye yöneliktir ve iç aygıtın oraya giden hiçbir rotası yoktur. Üç şeyi ayrı ayrı test edin, çünkü farklı nedenlerle başarısız olurlar: dışarıdan gelen bir bağlantı, ana makinenin kendisinin başlattığı bir bağlantı ve bir ad çözümlemesi.