Mehmon VPN va xost VPN: qaysi marshrut haqiqatan g‘olib bo‘ladi

Ikki klient bir vaqtda ishlaydi, har biri standart marshrut o‘ziniki deb ishonadi, alomat esa g‘alati narsa sifatida namoyon bo‘ladi: mehmonning bir ilovasi ishlaydi, boshqasi noto‘g‘ri joyga hal qilinadi. Mehmon ichidagi VPN va xostdagi VPN birga mavjud bo‘lishi mumkin, lekin faqat tashqi yo‘l va ichki siyosat kim nima tashishini kelishganda. Ikkalasini ishga tushirish o‘z-o‘zidan zanjir yaratmaydi. Avval ulanishni yozib oling, so‘ng bir vaqtda bitta narsani o‘zgartiring.

Avval mehmonning ulanishini yozib oling

Mehmon o‘z VPN serveriga gipervayzer bergan yo‘l orqali yetib boradi: xost ortidagi NAT, fizik segmentga ko‘prik yoki ustiga marshrutlash qo‘shilgan faqat xost uchun tarmoq. Har bir ulanish mehmon nima ko‘ra olishini va xost uning trafigi bilan nima qila olishini o‘zgartiradi. NAT ostida mehmon paketlari xostdan kelayotgandek ko‘rinadi, shuning uchun xostning o‘z tunneli ularni mehmon hech narsa bilmasdan tashishi mumkin. Ko‘prik ostida mehmonning segmentda o‘z mavjudligi va o‘z standart shlyuzi bor.

Har qanday konfiguratsiyaga tegishdan oldin ulanishni, qaysi klient qaysi ilovani tashishi bilan birga yozib oling. O‘sha gap bunday holatlarning ko‘pini hal qiladi, chunki ikki klient odatda turli taxminlarga qurilgan. Xost tunnelidan foydalanishi kutilayotgan mehmonning o‘z raqobatchi standart marshruti ham bo‘lmasligi kerak.

Mehmonning oxirgi nuqtasini tashqariga kuzatib boring

Mehmon VPN boshqa narsa ishlashidan oldin o‘z serveriga yaroqli yo‘l kerak. Xost tunneli ko‘tarilgan va mehmon NAT ortida o‘tirganda, mehmonning qo‘l berib ko‘rishishi xost tunneli orqali chiqadi, bu yo dizayn, yo hech kim hujjatlashtirmagan hodisa. Xost tunneli tushsa va mehmon unga bog‘liq bo‘lsa, mehmon o‘z tomonida bironta o‘zgarishsiz aloqani yo‘qotadi. Oxirgi nuqtani tashqariga kuzatish sizda shu ikkisidan qaysi biri borligini aytadi.

Har qanday kontekstda keng marshrut boshqa klient kutgan trafikni ushlaydi. Mehmon ichidagi 0.0.0.0/0 marshruti va to‘liq tunnelli xost klienti ikkalasi ham hamma narsaga da'vo qiladi va oxirgi qo‘llangani g‘olib bo‘ladi. Mehmonning virtual tarmoqlari, mahalliy LAN va uzoq tarmoqlar orasidagi ustma-ust tushishlar xususiy prefikslar uchun bir xil ta'sir beradi, nosozliklar autentifikatsiya muammolariga o‘xshaydi; manzillarni tarjima qilish xatti-harakati konteyner tarmoqlari uchun tasvirlangani bilan bir xil.

Oldin va keyingi yozuvni solishtiring

Xost tunneli o‘chirilgan holatda yoki siyosatingiz ruxsat bergan har qanday nazorat ostidagi holatda bazaviy o‘lchov oling va mehmonning marshruti va hal qiluvchisini yozib oling. So‘ng birlashtirilgan konfiguratsiyani qo‘llang va ikki yozuvni solishtiring, maxfiylik talablarini buzmasdan. Agar to‘g‘ridan-to‘g‘ri bazaviy o‘lchov mos bo‘lmasa, solishtirishni o‘tkazib yuborish o‘rniga o‘sha cheklovni yozuvga yozing.

ip route get 10.20.30.41
ip rule show
resolvectl status --no-pager | head -12

Marshrut so‘rovi muayyan manzilni tashiydigan interfeys va manba manzilini nomlaydi va bu tekshiruvdagi eng foydali satr. Qoidalar ro‘yxati siyosat marshrutlash ba'zi manzillarni ikkinchi jadval orqali yuborishini ko‘rsatadi. Hal qiluvchi chiqishi DNS mehmon tunneliga ergashganini yoki xost yo‘lida qolganini ko‘rsatadi. Xuddi shu uchta buyruqni o‘zgarishdan oldin va keyin ishga tushiring, farq aybdorni nomlaydi.

Qayta ishga tushirishlar orasida egalikni aniq saqlang

Xost klientining mahalliy kirish cheklovi virtual NAT yoki ko‘prikka trafikni to‘sishi mumkin va bu cheklov ko‘pincha mehmonning hisob ma'lumotlari muammosi bilan aralashtiriladi. Test o‘tishi uchun cheklovni o‘chirish o‘rniga klientning hujjatlashtirilgan xatti-harakatini o‘qing. Qo‘llab-quvvatlangan tuzatishdan keyin mehmon ilovasi va siz talab qiladigan nosozlik siyosatini qayta sinab ko‘ring. Muvaffaqiyatli qayta ulanadigan xost mehmonning marshruti yoki hal qiluvchisi haqida hech narsani isbotlamaydi.

Standart marshrut qaysi tomonga tegishli ekanini hal qiling va buni ishlatish qo‘llanmasiga yozing. Mehmonning qayta ishga tushishi yoki xostdagi tarmoq almashinuvi egalikni jimgina teskari aylantirsa, hech qachon aybdor bo‘lmagan VPN haqida xato hisoboti paydo bo‘ladi. Tartib qayta yuklashdan keyin ham saqlanib qolishi kerak, hech kim nima uchun ishlaganini eslamasa ham.