Nega VPN tunnelingiz manzili kiruvchi portni ochmaydi
Tunnel manzili mijoziingizni unga yo'naltira oladigan sheriklarga tanitadi va hech qachon tinglovchi yaratmaydi. Ulanishni, qaytish yo'lini, so'ngra siyosatni tekshiring.
Ofis VPN'iga ulaning, 8443 portida kichik xizmat ishga tushiring, tunnel manzilini hamkasbingizga yuboring va mijoz hali ham ulanganligini bildirib turganda ulanish muvaffaqiyatsiz bo'lishini kuzating. Tunnelda hech narsa buzilmagan: manzil berilgan, sessiya faol, javobni olib ketadigan paketlar esa hech qachon o'tkazilmaydi. Quyidagi uchta tekshiruvni tartib bilan bajaring va muvaffaqiyatsiz bo'lganida to'xtang, chunki har birining tuzatishi boshqacha va ulardan faqat bittasi VPN'ga tegishli.
Soket haqiqatan qayerga bog'langanidan boshlang
Biror narsa yo'naltirilishidan oldin, qo'ng'iroq qiluvchi yeta oladigan manzilda biror narsa tinglashi kerak. Ishlab chiqish serverlari odatiy aybdor, chunki ularning ko'pchiligi sukut bo'yicha loopback'ka bog'lanadi va faqat shu mashinadan kelgan ulanishlarni qabul qiladi. Tunnel manzili bu bog'lanishni o'zgartirmaydi va operatsion tizim VPN umuman aralashishidan ancha oldin ulanishni rad etadi.
ss -ltnp | grep 8443
netstat -ano | findstr 8443Holatni emas, mahalliy manzil ustunini o'qing. 127.0.0.1:8443 faqat loopback ma'nosini beradi va tuzatish 0.0.0.0 yoki tunnel manzilining o'ziga bog'lashdir. 0.0.0.0:8443 barcha interfeyslarda qabul qiladi, bu mashinada ommaviy manzil ham bo'lganda ko'pchilik o'ylagandan kengroq; 10.64.7.15:8443 faqat hamkasb yeta oladigan joyda tinglaydigan tor versiyadir. Xuddi shu chiqishdagi jarayon nomiga ham e'tibor bering, chunki avvalgi sinovdan qolgan ortiqcha nusxa portning ochiq ko'rinishining va noto'g'ri mazmun bilan javob berishining odatiy sababidir.
So'ngra o'sha manzilga biror narsa yo'naltira oladimi, deb so'rang
Tunnel manzili faqat o'sha prefiksni tunnelga yuborish uchun sozlangan sheriklar uchun ma'noga ega. Hamkasbning mashinasining o'z jadvali bor va tunnel quyi tarmog'iga yo'l bo'lmasa, paket sukut bo'yicha shlyuzga ketadi va manzil mavjudligini bilmaydigan joyda nobud bo'ladi. Bu qo'ng'iroq qiluvchi tomonidagi yo'naltirish masalasi, sizning tomoningizdagi ruxsat emas.
| Symptom from the caller | What it usually means | Where to look next |
|---|---|---|
| Connection refused immediately | Nothing is listening on the address the packet reached | The bind address and the process owning the port |
| Connection times out with no reply | A policy dropped the packet, or no route returns | Server forwarding, host firewall, cloud security group |
| Works from the same machine only | Listener is on loopback, or no route reaches the tunnel address | Bind address, then the caller's route to that prefix |
Ikki mijoz orasidagi server ham shunchalik muhim. Odatiy masofaviy kirish dizaynida har bir mijoz shlyuzga chiquvchi ulanish ochadi va shlyuz o'sha oqimlarning holatini saqlaydi, shuning uchun javoblar u allaqachon biladigan yo'l bilan qaytadi. Bir mijozdan boshqasiga ulanish shlyuz qabul qilib, uzatishi kerak bo'lgan yangi oqimdir va ko'plab joylashtirishlar mijozlarni bir-biridan ajratish uchun buni ataylab o'chiradi. Iste'molchi VPN xizmatlari odatda sukut bo'yicha ajratadi; korporativ shlyuzlar ba'zan guruh bo'yicha ruxsat beradi.
Xostda biror narsani o'zgartirishdan oldin yo'nalishni tekshiring. Agar tunnel manzili shlyuzning o'zidan javob berib, sherikdan bermasa, farq shlyuzning mijozdan mijozga sozlamasi va mahalliy tarmoq ekranini tahrirlash uning o'rnini bosa olmaydi.
Nihoyat, oqimga ruxsat beruvchi siyosatni toping
Yo'naltirilgan paket va javob beruvchi xizmat o'rtasida uchta siyosat qatlami bor: VPN serverining uzatish qarori, xost tarmoq ekrani va nusxa oldidagi har qanday bulut xavfsizlik guruhi. Uchtasi ham kelishishi kerak va ular turli yo'llar bilan muvaffaqiyatsiz bo'ladi, shuning uchun yuqoridagi jadvaldagi alomat brauzerdagi xato xabaridan foydaliroq.
Xost tarmoq ekrani muvaffaqiyatli ulanishdan keyin odamlar unutadigan qatlam, chunki LAN interfeysida portga ruxsat beruvchi qoida uni tunnel interfeysida avtomatik ravishda ruxsat bermaydi. Interfeys bilan cheklangan qoidalar to'g'ri dizayn va ayni paytda ofisdan ishlab, uydan ishlamaydigan xizmatning odatiy sababidir. Qoidaning port raqamini emas, qamrovini o'qing.
Holatga asoslangan filtrlash teskari holatni tushuntiradi. Noutbukingizdan chiquvchi ulanish holat yaratadi va unga javoblar kiruvchi qoidasiz o'tkaziladi. Hamkasbning ulanishi orqasida holati yo'q butunlay yangi oqim, shuning uchun unga aniq ruxsat kerak. Bu asimmetriya o'z mashinangizda ishlaydigan brauzer sessiyasining xizmat tashqaridan ochiqmi-yo'qmi haqida hech narsa aytmasligining butun sababidir.
Bitta tekshiruv muvaffaqiyatsiz bo'lsa, tunnelni emas, dizaynni o'zgartiring
Agar talab hamkasbingiz mahalliy xizmatingizni ochishi bo'lsa, halol javob odatda kiruvchi kirish uchun qurilgan mexanizm. Teskari SSH tunnel eng kichigi: mashinangiz hamkasb allaqachon yeta oladigan xostga chiqib ulanadi va tinglovchi o'sha xostda bo'ladi.
ssh -N -R 8443:127.0.0.1:8443 [email protected]Relay o'zining SSH server konfiguratsiyasida GatewayPorts clientspecified talab qiladi, aks holda uzatilgan tinglovchi relayda loopback'ka bog'lanadi va hamkasb avvalgidek rad javobiga uchraydi. Bir tushdan ko'proq davom etadigan har qanday narsa uchun sog'liq tekshiruvi va e'lon qilingan nom uchun sertifikatga ega yuk muvozanatlagichi yoki ingress yaxshiroq vosita, ikki tarmoq haqiqatan gaplashishi kerak bo'lganda esa ikkala quyi tarmoq uchun yo'llari bor saytdan saytga tunnel to'g'ri javob.
Bu dizaynlarning har biri ta'sirni aniq qiladi va gap shunda. VPN paketlarni siz allaqachon foydalanishga ruxsat olgan tarmoqlar orasida ko'chiradi; u xizmat e'lon qilmaydi va noutbukni internetga qaragan xostga aylantirmaydi. Uch qatlamdan qaysi birini o'zgartirishni hal qilish vazifa, tunnel esa ular orasida kamdan-kam uchraydi.