Access Server istemcilerine LAN üzerinden neden ulaşılamıyor

Dizüstü bilgisayar bağlanır, tünel açılır ve dahili bir servise giden istekler bağlantı sırasında askıda kalır. Servisin kendisinde istek 10.90.0.25 gibi bir adresten gelir, yanıt varsayılan ağ geçidine doğru çıkar ve hiçbir şey geri dönmez, çünkü o ağ geçidinin 10.90.0.25 nerede olduğuna dair hiçbir fikri yoktur. Diğer uçtan bakıldığında aynı arıza, bağlı bir istemciye ping atamayan dahili bir ana bilgisayar gibi görünür. Her ikisi de tek bir eksik nesnedir: VPN istemci havuzuna geri dönüş rotası, bunu yalnızca özel ağ ekleyebilir.

Servisin gördüğü kaynak adresini okuyun

O tek alan geri kalan her şeyi belirler. Dahili servis havuz adresini görüyorsa Access Server istemci trafiğini gizlemek yerine yönlendiriyor demektir ve her yanıtın havuza geri yönlendirilmesi gerekir. Bunun yerine sunucunun kendi özel adresini görüyorsa sunucu masquerade yapıyordur ve dönüş yolu zaten çalışıyordur; ancak servisin günlüklerinde ve erişim kurallarında istemci başına kimliğin kaybolması pahasına.

Herhangi bir şeyi değiştirmeden önce iki ucu karşılaştırın. Sunucuda tünel arayüzlerini ve adreslerini listeleyin; istemcide bu adreslerden hangisini gerçekten tuttuğunu doğrulayın; dahili ana bilgisayarda canlı bir bağlantıya bakın.

ip -br addr show
ss -tnp state established '( dport = :443 )'
ip route get 10.90.0.25

Son komut bozuk durumda başarısız olan komuttur: ya tünel önekini ulaşılamaz olarak bildirir ya da daha kötüsü varsayılan ağ geçidinizi döndürür ve yanıtlar böylece internete çıkar.

Tek bir havuz olduğunu varsaymayın. Bir sunucuda dinamik aralık artı kullanıcı başına statik eşlemeler olabilir ve statik adres tamamen dinamik önekin dışında kalabilir. Yalnızca hatırladığınız aralığı yönlendirirseniz sabit adresli kullanıcılar bozuk kalır ve diğer herkes sorunun çözüldüğünü bildirir.

Rotayı yanıtın belirlendiği yere ekleyin

Rota, dahili servisin zaten kullandığı ağ geçidine aittir, servise değil; servis kendi trafiğini yönlendirmiyorsa. Rotayı Access Server'ın erişilebilir özel adresine yöneltin; bu, istemcinin tuttuğu tünel adresinden farklı bir değerdir.

ip route add 10.90.0.0/24 via 10.0.1.5
ip route get 10.90.0.25

Bulut ağında aynı ifade, hedefi sunucuyu çalıştıran örnek veya ağ arayüzü olan ve o arayüzde kaynak ile hedef denetimi devre dışı bırakılmış bir yönlendirme tablosu girdisine dönüşür. O girdinin ne yapmadığına dikkat edin: rota bir erişim izni değildir, bu yüzden güvenlik grupları, ağ ACL'leri ve ana bilgisayar güvenlik duvarı trafiğe hâlâ izin vermelidir.

Rotayı kalıcı yapın ve havuz boyutlarını dürüst tutun. Bitişik olmayan iki havuz iki rota gerektirir ve yapılandırılmış önekinin ötesine büyüyen bir havuz, yanıtlarının gidecek yeri olmayan istemcileri sessizce üretir. Havuz aralıklarını siz yönetiyorsanız, bir kez yönlendirip bırakabileceğiniz bir özet seçin.

İletim ve filtreler rotayla uyuşmalıdır

Yönlendirme yolun yalnızca yarısıdır. Sunucunun tünel ile özel arayüz arasında iletmesine izin verilmelidir; Linux'ta bu net.ipv4.ip_forward artı arayüz çiftine izin veren bir iletim zinciri anlamına gelir ve sertleştirilmiş bir ana bilgisayarda genellikle her yön için ayrı açık bir kural vardır.

sysctl net.ipv4.ip_forward
nft list ruleset | grep -A5 forward

Durum bilgili filtreleme, insanları yanlış yola sürükleyen bir belirtiyi açıklar. Kurulmuş bir akış içindeki yanıt yeni bir gelen kuralı gerektirmez, bu yüzden SYN-ACK sonrasında askıda kalan bir bağlantı eksik bir kabul kuralı tarafından engellenmiyor; düşürülüyor veya yanlış yönlendiriliyor. Bu ayrımı koruyun, çünkü yönlendirme değişikliğini güvenlik duvarı değişikliğinden ayırır.

Asimetrik dönüş yolları aynı sorunun daha sessiz sürümüdür. Havuza iki rota ulaşırsa ve yanıt, isteğin geldiği arayüzden farklı bir arayüzden çıkan rotayı seçerse, katı ters yol filtrelemesi onu düşürür ve akış yalnızca bazı istemcilerde başarısız olur.

Yönlendirilmiş mi maskelenmiş mi: bilinçli seçin

Yönlendirilmiş mod, istemcinin havuz adresini serviste korur; bu, istemci başına günlüklemeyi ve politikayı mümkün kılar ve karşılığında bir istemciye yanıt vermesi gereken her dahili ağın havuz rotasına ihtiyacı olur. Maskelenmiş mod bu gereksinimi ortadan kaldırır çünkü yanıtlar sunucuya döner, ancak servis artık bir istemciyi diğerinden ayırt edemez ve belirli bir istemciye doğru hiçbir şey başlatamaz.

Bu davranışı çalışan bir sunucuda değiştirmek mevcut oturumları düşürür, bu yüzden önce tek bir istemci ve tek bir akışla test edin. Değişiklik doğru yanıtsa, bu sunucudaki bir yapılandırma kararıdır, sonradan gereksiz hale gelecek rotalar ekleyerek etrafından dolaşılacak bir şey değildir.

İstemcinin arkasındaki alt ağ ayrı bir iştir

Dizüstü bilgisayarın kendi LAN'ındaki bir cihaza ulaşmak dizüstü bilgisayarın tünel adresine ulaşmakla aynı şey değildir. İstemcinin bir alt ağ geçidi olarak davranmasını gerektirir: istemci tarafında bildirilen bir ağ, istemcinin işletim sisteminde etkinleştirilmiş iletim ve o LAN'da istemciye geri dönüş rotası. Dizüstü bilgisayarın ev aralığı için özel ağ rotası eklemek bunu yapmaz ve iki kullanıcının aynı ev aralığı olması durumunda çakışmalar yaratır.

Yön de bir politika sorunudur. Bir istemcinin dahili bir servise bağlantı açmasına izin vermek, dahili bir ana bilgisayarın o istemciye bağlantı açmasına otomatik olarak izin vermez. Yolun bozuk olduğu sonucuna varmadan önce sunucunun erişim politikasını ve istemcinin ana bilgisayar güvenlik duvarını denetleyin.

Tek bir akış ve tek bir yakalamayla doğrulayın

Yolu genel bir erişilebilirlik testi yerine tek bir bağlantıyla kanıtlayın. Aynı akışı iki uçta izleyin: servise gelen istek ve onu terk eden yanıt.

tcpdump -ni any host 10.90.0.25 and port 443

Düzeltmeden önce yakalama, yanıtın onu yönlendirmeyecek bir ağ geçidine doğru çıktığını gösterir. Düzeltmeden sonra yanıt sunucuya doğru çıkar ve akış tamamlanır. Ardından ağ geçidinin ikinci bir istemci adresi için kullanacağı rotayı doğrulayın, böylece kapsamadığınız bir havuz bir hafta sonra değil şimdi ortaya çıksın.

Konuyu kapatan dört denetimle bitirin: servisteki kaynak adresi amaçladığınız modla eşleşiyor, ağ geçidinin kullanımdaki her havuza rotası var, iletim ve filtreler iki yönü de kabul ediyor ve gerçek bir akış baştan sona tamamlanıyor. Access Server yönlendirmesi hakkında sık sorulan sorular kurulu sürüm için aynı ilkeyi belirtir; o sürümün desteklenen yapılandırma arayüzü eski kılavuzlardan farklı olabilir.