Nega VPN mijozi orqasidagi server tunnel orqali javob beradi

VPN mijozini ham ishga tushirgan hostga kiruvchi ulanishlar juda o'ziga xos tarzda muvaffaqiyatsiz bo'ladi: qo'l siqish keladi, demon javob beradi, mijoz esa hech narsa olmaydi. Portni hech narsa to'smaydi. Javob tunneldan chiqdi, chunki tunnel standart marshrutga egalik qiladi va yadro javoblarni manzil bo'yicha marshrutlaydi, so'rov qayerdan kelganini eslab qolish bo'yicha emas. O'sha bitta tushirib qoldirish keyingi har bir alomatni tushuntiradi.

Javob eslab qolinmaydi, marshrutlanadi

Standart marshrut o'rnatadigan VPN mijozi LAN darvozasidan oshib ketadigan yozuv qo'shadi, yo metrika bo'yicha, yo bo'shliqni ikkita aniqroq yarmga bo'lish orqali. Chiquvchi paketlar endi tunnel interfeysini tanlaydi. Yadro javob berilayotgan paket dastlab qayerdan kelganini hech qachon so'ramaydi. O'sha bitta tushirib qoldirish keyingi har bir alomatni tushuntiradi.

Oldinga yo'nalish manzil bo'yicha marshrutlanadi, orqaga yo'nalish ham. Javob tunnel mamnuniyat bilan olib boradigan ommaviy mijozga qaratilgan. Uzoq tomon manbasi o'ziga tegishli bo'lmagan paketni oladi, uni tashlab yuboradi, asl mijoz esa vaqt tugaguncha kutadi.

Qattiq teskari yo'l filtrlash kiruvchi paketni demon o'qishidan oldin tashlab yuborishi mumkin. Avval o'sha hisoblagichni tekshiring, chunki filtr tashlashi va marshrutlash xatosi tashqaridan bir xil ko'rinadi.

ip route show default
sysctl net.ipv4.conf.all.rp_filter net.ipv4.conf.eth0.rp_filter
nft list ruleset | grep -A3 'hook forward'

Birinchi buyruq hozir qaysi standart marshrut yutayotganini ko'rsatadi. Ikkinchisi qattiq filtrlash globalmi yoki har bir interfeys uchunmi, xabar beradi, uchinchisi esa ishtirok etishi mumkin bo'lgan har qanday uzatish zanjiri qoidasini ko'rsatadi.

Qaytish yo'lini saqlashning uchta usuli

Xizmat manzilini tunneldan chiqarib tashlash eng tor variant. LAN darvozasiga qaratilgan host marshruti va har bir manzil o'rniga jismoniy manzilga bog'langan demon o'sha bitta oqimni tunneldan tashqarida ushlab turadi. O'zgarish mahalliy va uni qaytarish oson.

Siyosat asosidagi marshrutlash umumiy javob. Manba manziliga yoki tarmoq devori belgisiga bog'langan qoida standarti WAN darvozasiga ishora qiluvchi jadvalni tanlaydi, hostning o'z ulanishlari esa tunneldan foydalanishda davom etadi. Ustuvorlikni aniq saqlang, qoida keyinchalik soyada qolmasligi uchun.

ip rule add from 203.0.113.25/32 table 100 priority 100
ip route add default via 192.0.2.1 dev eth0 table 100
ip route get 198.51.100.7 from 203.0.113.25

Birinchi ikki buyruq ommaviy manzildan chiqqan javoblar uchun muqobil yo'l quradi. Uchinchisi yadrodan aynan o'sha manba va manzil qaysi yo'lni olishini so'raydi, shu bilan qoidaning qandaydir ta'siri borligini tasdiqlaysiz.

Manba tarjimasi uchinchi variant va xizmat oldida allaqachon NAT qilayotgan router oldida omon qoladigan yagona variant. Javob o'sha routerga qaytishi kerak, WAN interfeysiga maskalash buni amalga oshiradi va mijozni xizmat jurnallaridan yashiradi. Ulangandan keyin standart marshrutni qo'lda almashtirish diagnostika, chunki mijoz keyingi qayta ulanishda jadvalni qayta yozadi.

Quti LAN uchun ham marshrutlaganda

Xuddi shu nosozlik host o'zi orqasidagi qurilmalar uchun marshrutlaganda bir sakrash narida ko'rinadi. Kiruvchi ulanish yagona qaytish yo'li tunnel bo'lgan ichki qurilmaga uzatiladi, javob esa provayder manzilidan tashqi mijozga yetib boradi. Ichki qurilma butun vaqt davomida to'g'ri ishlaydi.

Keyin ulanishlarni kuzatish hech qachon qayd etmagan oqim uchun javobni ko'radi va uni tashlab yuboradi. Manzil tarjimasi kiruvchi ulanishni qurilmaga yetkazadi, manba tarjimasi esa javobni routerning o'zidan chiqqandek ko'rsatadi.

Uzatilgan portni WANda ushlab, routerni o'z trafigi tunneldan foydalanadigan siyosat marshruti tozaroq ekvivalent. Manba tarjimasisiz javob tashqi mijozga qaratiladi va ichki qurilmada bu manzilga umuman marshrut yo'q.

Sabablarni ajratadigan uchta tekshiruv

Uchta tekshiruv o'tkazing: internetdan qutiga ulanish, undan ommaviy hostga ulanish va nom qidirish. Birinchi ikkisi mos kelmasa, qaytish yo'li aybdor. Nomlar ikkala yo'nalishda ham muvaffaqiyatsiz bo'lsa, hal qiluvchi faqat tunnelni bo'lishadigan boshqa nosozlik.

Avval marshrutlash masalasini tuzating, keyin nomlarga qarang. Ikkalasini aralashtirish ishlayotgan serverni buzilgan hal qiluvchi uchun ayblash usuli.

Istisno qaysi interfeysni nomlashini yozib qo'ying va konfiguratsiyani versiya nazorati ostida saqlang. Yangilanishdan keyin nomi o'zgaradigan interfeysga qarshi yozilgan qoida bugun o'tadi va keyingi qayta yuklashdan keyin muvaffaqiyatsiz bo'ladi.