VPN shlyuziga IP yo'naltirish kerak: nimani tekshirish kerak

Mijozingiz shlyuz manziliga ping yuborishi mumkin, ammo uning orqasidagi barcha resurslar yetib bo'lmaydigan bo'lib qoladi. Bu ikki kuzatuv siz bilan gaplashayotgan xostni va yo'naltirish qilmayotgan marshrutizatorni tasvirlaydi, bu esa bir mashinadagi turli rollardir. Yo'naltirish ular orasidagi kalitdir.

Ikki rol mustaqil, ikki manzil oilasi ham shunday.

O'z manziliga javob berish hech narsani isbotlamaydi

Paket shlyuzning o'ziga manzillanganida, mahalliy stek uni iste'mol qiladi va yo'naltirish bo'yicha qaror qabul qilinmaydi. Shuning uchun tunnel manziliga yoki boshqaruv interfeysiga muvaffaqiyatli ping demonning tirikligini va tunnelning ko'tarilganini aytadi, lekin quti orqasidagi tarmoqqa mo'ljallangan trafik haqida hech narsa aytmaydi. Yadro o'z yo'naltirish yo'lini faqat o'ziga manzillanmagan paketlar uchun ko'rib chiqadi.

Talabni sozlama emas, rol sifatida o'qing: bu xost paketlarni ikki interfeys orasida ko'chirishi kerak. Faqat uzoq tarmoqqa yetish kerak bo'lgan noutbuk bu rolni hech qachon olmaydi, sayt-sayt oxirgi nuqtasi esa doim oladi. Talabni shunday o'qish ishlaydigan mijoz konfiguratsiyasi shlyuzga ko'chirilganda nima uchun muvaffaqiyatsiz bo'lishini tushuntiradi.

Xuddi shu jumla yo'naltirish qarori oldidagi tarmoq devoriga ham tegishli, uning nima o'tkazilishi mumkinligi haqida o'z siyosati bor.

Har bir manzil oilasini alohida tekshiring

IPv4 yo'naltirish bitta kalit, IPv6 yo'naltirish esa har bir interfeys uchun o'z xatti-harakatiga ega boshqasi. Birinchisini yoqish ikkinchisi haqida hech narsa aytmaydi va ikki stekli mijoz tarmoqning yarmiga yetishi mumkin, qolgani qorong'i bo'lib qoladi. Shuning uchun turli oilalarning ikki mijoz bir shlyuz haqida kelisha olmasligi mumkin. Har qanday sozlamani o'zgartirishdan oldin muvaffaqiyatsiz mijoz qaysi oiladan foydalanganini so'rang. Marshrutlash dizayni noto'g'ri degan xulosaga kelishdan oldin ikkalasini ham tasdiqlang.

sysctl net.ipv4.ip_forward
sysctl -a --pattern 'net.ipv6.conf.(all|default).forwarding'
nft list ruleset | head -n 40

Ko'pgina distributivlarda ish vaqtida o'qigan qiymatingizni u yerga xizmat yoki konfiguratsiya fayli qo'ygan, shuning uchun bir martalik buyruq bilan qilingan o'zgarish qayta yuklashda yo'qolishi mumkin. Ish vaqti qiymatini tahrirlashdan oldin bu sozlamaga ega faylni toping.

Yo'naltirish to'rt talabdan biri

Ishlayotgan yo'naltirilgan oqim bir vaqtning o'zida to'rt narsani talab qiladi: mijoz manzil tunnel orqasida ekanini bilishi kerak, shlyuzda oldinga marshrut bo'lishi kerak, javoblarda qaytish yo'li bo'lishi kerak va tarmoq devori trafikka ruxsat berishi kerak. Manba tarjimasi bu dizaynga qoida emas, variant sifatida kiradi, chunki simmetrik yo'llarga ega xususiy marshrutlangan tarmoqqa u kerak emas, assimetrik tarmoqqa esa odatda kerak. To'rtovning har biri mustaqil ravishda muvaffaqiyatsiz bo'ladi, shuning uchun birini tuzatish alomatni kamdan-kam siljitadi. Har qanday birini o'zgartirishdan oldin to'rttasini ham yozib qo'ying.

Bulut platformalari beshinchi mulohazani qo'shadi. Ba'zilari instansiyalarda manba va manzil tekshiruvlarini majburiy qiladi, bu mehmon yadrosi qanday sozlanganidan qat'i nazar yo'naltirilgan paketlarni tashlab yuboradi. U yerda vakolat platformaning o'z tarmoq hujjatlariga tegishli, VM ichidagi sysctl chiqishiga emas.

Shlyuzdan emas, mijozdan sinab ko'ring

Shlyuzning o'z qobig'ida ishga tushirilgan sinov siz hozir yoqqan yo'naltirish yo'lining biror qismidan o'tmaydi. Muammosi bor mijozdan trafik yarating va u shlyuzning o'ziga emas, shlyuz orqasidagi biror narsaga yetishini tasdiqlang. Bu siz o'zgartirgan rolni mashq qiladigan yagona sinov.

Tinglovchi qoidalari va yo'naltirish qoidalarini xayolingizda va o'zgarishlar yozuvida alohida saqlang. VPN portini ochish mijozlarni xizmatga kiritadi; bu ularga uning orqasidagi tarmoqda hech narsa bermaydi va yillar davomida o'sgan tarmoq devori ro'yxatida ikkalasi bir xil ko'rinadi.

Agar paketlar kelib, xizmat foydalanuvchini rad etsa, siz tarmoqdan o'tib ketgansiz. Yo'naltirish siyosatini yana kengaytirish o'rniga ilova avtorizatsiyasi bilan davom eting.