VPN mijozi ulanaganda veb server ko'rinmay qoladi

VPN mijozi ulanagan lahzada ko'rinmay qoladigan xizmat odatda bloklanmaydi, u noto'g'ri interfeys orqali javob beradi. So'rov jismoniy tarmoq kartasiga keladi, demon javob yozadi va tunnel asosiy marshrutni egallab olgani uchun marshrutlash jadvali o'sha javobni tunnelga topshiradi. Uzoq mijoz o'zi ochgan ulanishga javobni hech qachon ko'rmaydi, shuning uchun kutadi va keyin vaqt tugaganini xabar qiladi. Bu ketma-ketlikning hech yerida firewall qoidasi ishtirok etmaydi.

Belgisi: so'rovlar ichkariga, javoblar noto'g'ri eshikdan tashqariga

Belgi — xostdagi qolgan hamma narsa ishlayotganda muvaffaqiyatsiz bo'lgan kiruvchi ulanish. Yana bir belgi — LAN dan yetib borish mumkin, ammo internetdan mumkin bo'lmagan xost yoki tunnel qayta ulanmaguncha ishlab, keyin to'xtaydigan xost. Har holda oldinga yo'nalish ishladi, qaytish yo'nalishi ishlamadi, bu siyosatga emas, marshrutlash assimmetriyasiga ishora qiladi.

Javob qayerga ketishini kuzatib buni tasdiqlang, so'rov qanday kelishini kuzatib emas.

Jismoniy interfeysda va tunnel qurilmasida bir vaqtda ushlang. Agar so'rov jismoniy interfeysda, javob esa tunnelda ko'rinsa, diagnostika tugadi. Hech yerda ko'rinmaydigan javob xizmat ulanishni hech qachon qabul qilmaganini bildiradi, bu esa alohida sababli alohida tekshiruvdir.

Ikki asosiy marshrut va bitta marshrutlash qarori

Asosiy marshrutni o'rnatadigan mijoz LAN shlyuzidan yaxshiroq metrikali ikkinchi yozuvni qo'shadi. Ba'zi mijozlar buning o'rniga yarim diapazonli ikkita marshrut o'rnatadi, ular o'sha bo'shliqni aniqroq qamrab oladi va qidiruvni xuddi shunday yutadi. Ikkala usul ham oddiy chiquvchi paketlarga tunnel interfeysini tanlash imkonini beradi.

Bu tanlov faqat manzil bo'yicha amalga oshiriladi. Yadro siyosat qoidasi buyurmasa, paket qayerdan kelganini so'ramaydi. Shuning uchun umumiy mijoz manziliga javob tunnelga beriladi, uning uzoq uchi o'ziga tegishli bo'lmagan manba manzilli paketni oladi va uni tashlaydi yoki foydasiz joyga yo'naltiradi. Linux da qat'iy teskari yo'l filtrlash sizning xizmatingiz uni ko'rishidan oldin asl so'rovni ham tashlab yuborishi mumkin, bu tashqaridan bir xil ko'rinadi. Ikkala belgi ham kiruvchi oqim va uning javobi o'rtasidagi bir xil yetishmayotgan bog'liqlikdan kelib chiqadi.

Tunnel butun vaqt davomida to'g'ri harakat qiladi. Unga asosiy marshrutni olib yurish aytilgan va u aynan shuni qiladi.

Tunnelni buzmasdan qaytish yo'lini tuzating

Tuzatishning uchta barqaror shakli bor va tanlov xostning o'z trafigining qanchasi tunnel ichida qolishi kerakligiga bog'liq. Xizmatning manzili yoki portini istisno qilish eng kichik o'zgarishdir. Manba yoki belgi bo'yicha siyosat marshrutlash eng aniqdir. Manba tarjimasi eng qo'pol va ikki yildan keyin tushuntirish uchun eng oson.

Xost nima qilishi kerakligiga qarab tanlang, birinchi topgan parchaga qarab emas.

Manzilni istisno qilish barqaror umumiy manzilli xizmatga mos keladi, demonni har bir manzilga emas, jismoniy manzilga bog'lash bu istisnoni xavfsizroq qiladi. Jadvalni manba bo'yicha tanlaydigan siyosat qoidasi xostning o'z ulanishlarini tunnel ichida ushlab turadi va shu bilan birga xizmat javoblarini WAN shlyuzi orqali qaytaradi. Javoblarni WAN interfeysida maskalash o'sha yo'lga yetadi, ammo xizmat jurnallaridan mijoz manzilini yashirish evaziga. Asosiy marshrutni tasodifiy o'zgartirish konfiguratsiya emas, diagnostikadir, chunki mijoz har qayta ulanishda marshrutlarni qayta yozadi.

ip rule show
ip route get 203.0.113.9 from 192.0.2.44

Xost o'zining orqasidagi LAN uchun ham marshrutlaganda

Bir sakrash narida o'sha assimmetriya yana ko'proq harakatlanuvchi qismlar bilan qaytadi. Trafik internetdan routerga yetib boradi, ichki qurilmaga yo'naltiriladi va o'sha qurilmaning qaytish yo'li faqat tunneldir, shuning uchun javob asl mijozga provayderning o'z manzilidan yetib boradi. Keyin ulanishlar kuzatuvi boshlanishini ko'rmagan oqimga javob uchratadi va uni tashlaydi. Mijoz esa bu orada hech narsa ko'rmaydi.

Ikki o'zgarish buni tuzatadi: kiruvchi ulanish ichki qurilmaga yetishi uchun manzil tarjimasi va o'sha qurilmaning javobi routerning o'zidan kelgandek ko'rinishi uchun manba tarjimasi.

Router mikrodasturida odatiy ifoda port yo'naltirishni WAN tomonga mahkamlaydigan siyosat qoidasi bo'lib, routerning o'z trafigi tunnel orqali yuradi. Manba tarjimasisiz bu javob tashqi mijozga qaratilgan va ichki qurilmaning u yerga boradigan marshruti yo'q. Uchta narsani alohida sinab ko'ring, chunki ular turli sabablarga ko'ra muvaffaqiyatsiz bo'ladi: tashqaridan keladigan ulanish, xostning o'zi boshlaydigan ulanish va nom qidiruvi.