Veb-serveringizdagi VPN mijozi uning javoblarini buzadimi?

Sayt xuddi shu tarmoqdagi noutbukdan yuklanadi va boshqa har qanday joydan vaqt tugaydi, host esa o'zining chiquvchi trafigi uchun VPN mijozini ham ishga tushiradi. Bu birikma aniq nosozlik tug'diradi: kiruvchi ulanish keladi, javob noto'g'ri yo'ldan chiqadi va tashqaridagi mijoz hech qachon javob ko'rmaydi. Ikkala yarim ham bitta paket yozuvida ko'rinadi, shuning uchun o'qishga arziydigan qism — voqealar tartibi.

Manbaga asoslangan marshrut qoidasi ko'pincha simptomni tuzatadi. U odatda uni keltirib chiqargan saytdan ko'proq trafikni ham ozod qiladi va qoidani saqlashdan oldin tushunish kerak bo'lgan qism aynan shu.

Simptom: mahalliy javob beradi, tashqaridan bermaydi

Tarmoq ichida javob tunnel orqali o'tishi shart emas, shuning uchun sahifa yuklanadi va xizmat sog'lom ko'rinadi. Tashqaridan so'rov hostga yetib boradi va javob VPN ichiga yo'naltiriladi, u yerda uzoq uchning uni qabul qilishga hech qanday sababi yo'q. Brauzer rad etish o'rniga vaqt tugashini ko'radi, bu yopiq portning emas, balki bir tomonlama yo'lning belgisidir.

Marshrutlashni o'zgartirishdan oldin shaklni tasdiqlang: tinglovchi ishlayapti, mahalliy so'rov muvaffaqiyatli, tashqi so'rov esa umuman javob bermaydi. Bu uch kuzatuv birgalikda veb-server konfiguratsiyasiga emas, qaytish yo'liga ishora qiladi. Shu qadar toza assimetriya har qanday jurnal satridan foydaliroq, chunki u bitta xato xabarini o'qishdan oldin tinglovchini istisno qiladi.

Ishlayotganda mustaqil ma'muriyat yo'lini ochiq tuting. O'zingizning SSH sessiyangizni buzadigan qoida o'n daqiqalik tuzatishni jismoniy tashrifga aylantiradi.

Manba selektori aslida nimaga mos keladi

Linux siyosat marshrutlashida from 192.168.50.2 kabi qoida manbasi o'sha manzil bo'lgan paketlarga mos keladi. U paket uy routeri orqali kirgan suhbatni davom ettirayotganini kodlamaydi va uni qaysi jarayon yaratganini bilmaydi. O'sha misoldagi manzil illyustrativ; uni hostingiz haqiqatda ishlatadigan manzil bilan almashtiring. Satrni manzillar haqidagi bayonot deb qabul qiling, undan boshqa narsa emas.

Agar tanlangan jadval oddiy standart marshrut bersa, o'sha manbaga ega har bir paket xuddi shu istisnoni olishi mumkin. Xuddi shu manzilga bog'langan boshqa xizmat uni meros oladi, o'sha manzilga ataylab bog'lanadigan dastur ham uni oladi. Siyosat qoidalari ma'lumotnomasi manba, manzil, protokol, port, belgi va ustuvorlikni alohida selektorlar sifatida sanaydi, bu esa faqat manba mavjud eng qo'pol variant ekanini eslatadi.

Natijani ustuvorlik hal qiladi. Qidiruvlar tartib bilan boradi va natija beradigan birinchi jadval qidiruvni tugatishi mumkin, shuning uchun juda erta joylashtirilgan qoida keyingi jadval bergan aniqroq marshrutni yashirishi mumkin. Qo'shgan bitta satringizni emas, butun tartiblangan ro'yxatni o'qing. Hech qachon mos kelmaydigan qoida hech narsa turmaydi, juda erta mos keladigani esa orqasidagi hamma narsani jimgina o'zgartiradi.

Qaytish yo'lini va siz mo'ljallamagan trafikni tekshiring

Qoidalar va jadvallarni o'qing, so'ng yadrodan aniq manba va manzil jufti qaysi marshrutni olishini so'rang. Hostning o'zidan sinash tashqaridan sinash bilan bir xil emas, shuning uchun ikkalasini ham qiling.

ip rule show
ip route show table 100
ip route get 203.0.113.44 from 192.168.50.2
ss -ltnp '( sport = :443 )'

So'ng yangi tashqi ulanishni va alohida, hali ham VPN orqali chiqishi kerak bo'lgan so'rovni qabul qiling. Agar ikkinchisi endi to'g'ridan-to'g'ri chiqsa, istisno siz hal qilayotgan muammodan kengroq, muhim sinov esa siz o'zgartirishni mo'ljallamagan sinovdir.

Brauzerdagi ommaviy manzil tekshiruvi faqat o'sha brauzer qilgan so'rovlar haqida xabar beradi. U veb-server javoblari, boshqa mahalliy dasturning manba tanlovi yoki keyingi VPN qayta ulanishidan keyin ma'muriy trafikka nima bo'lishi haqida hech narsa demaydi.

Istisno qanchalik tor bo'lishi mumkinligini hal qiling

Ikkita loyiha himoyalanishi mumkin va ularni ataylab tanlash kerak. Agar host faqat shu xizmatni e'lon qilish uchun bo'lsa va uning chiquvchi trafigi muhim bo'lmasa, faqat WAN siyosatiga ega ajratilgan mahalliy manzil butun qamrovni qabul qilsangiz, o'rinli yechim. Agar faqat ayrim kiruvchi ulanishlar mos kelishi kerak bo'lsa, manzil tanlovi juda qo'pol va uning oldida ulanishlardan xabardor loyiha turishi kerak.

Siz tayanadigan shartnomani yozib qo'ying: ommaviy xaritalash, so'rov yetkaziladigan host manzili va javob bosib o'tishi kerak bo'lgan yo'l. VPN provayderi orqali e'lon qilingan kiruvchi xizmat uy routeri orqali e'lon qilinganidan boshqa shartnoma, bir misoldan ko'chirilgan istisno esa ko'pincha ikkinchisi uchun noto'g'ri.

Siyosatni buyruqni ishga tushirish fayliga yopishtirish o'rniga marshrutlashga ega komponentda saqlang. Qoidalar tartibi, tarmoq o'zgarganidan keyin tozalash va qayta ishga tushirgandan keyin takrorlash — barchasi omon qolishi kerak, sinovdan o'tmagan ishga tushirish fayli esa odatda siz qaramaydigan paytda ishdan chiqadi. Himoya qila oladigan qabul natijasi bilan yakunlang: bitta e'lon qilingan sayt tiklandi va bitta aloqasiz oqim o'zgarmadi.