Gần đây tôi phát hiện ra rằng khi máy trạm của tôi kết nối thông qua kết nối VPN thì máy chủ SSH của nó không thể được kết nối từ một trang web từ xa. Tôi chắc chắn đó là sự cố định tuyến vì máy khách VPN thay đổi cổng mặc định sang máy ngang hàng (máy chủ VPN) của kết nối ppp.
Có giải pháp nào để làm cho cả máy chủ SSH và máy khách VPN đều hài lòng không?
Câu trả lời:
Khi bạn sử dụng vpn nói chung, mạng vpn chiếm toàn bộ giao diện của bạn sao cho bạn chỉ có thể định tuyến từ một nơi nào đó trên mạng vpn chứ không phải internet. Hầu hết mọi người giải quyết vấn đề này bằng cách chạy vm (hộp ảo, v.v.) và kết nối với vpn trong máy ảo đó để nó không hoàn toàn kết nối chính trên máy thực tế.
Trước khi phiêu lưu thông qua các thiết lập mạng, hãy kiểm tra xem máy chủ ssh trong câu hỏi có nghe trên giao diện vpn không. Có lẽ nó bị ràng buộc với một giao diện cụ thể trên máy chủ của bạn.
Ví dụ netstat -ađầu ra:
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 *:ssh *:* LISTEN
Máy chủ ssh trong ví dụ này lắng nghe trên tất cả các giao diện (được biểu thị bằng dấu hoa thị *:ssh. Nếu trên hệ thống của bạn có địa chỉ máy chủ thay thế, máy chủ ssh bị ràng buộc với các giao diện cụ thể.
Chỉnh sửa /etc/ssh/sshd_configvà thiết lập ListenAddress 0.0.0.0để điều chỉnh điều này, nếu cần thiết.
Nếu sshd đã lắng nghe các giao diện chính xác, vui lòng nhập dungeon định tuyến :-)
ListenAddressđặt địa chỉ nào? IP của máy chủ trên giao diện cục bộ? IP của bộ định tuyến? Thứ gì khác?
Bạn đang nói chuyện chia đường hầm. Nếu bạn đã đủ quen thuộc với công cụ ROUTE.EXE dòng lệnh , bạn có thể kiểm tra các tuyến đường được đặt bởi máy khách VPN và xóa chúng. Sau đó, bạn sẽ thêm lại một cái để cho phép lưu lượng truy cập vào mạng LAN công ty của bạn truyền qua cổng VPN.
Cụ thể, bạn sẽ sử dụng
route print
... Để có danh sách các mục định tuyến. Nếu không nhìn thấy đầu ra, có vẻ như máy khách VPN của bạn đã đặt một mục nhập mặc định (0.0.0.0) với cổng là cổng ngang hàng VPN. Bạn có thể dùng
route delete 10.*
... ví dụ: để xóa tất cả các mục trỏ đến mạng 10.xxx.
Sau đó bạn có thể sử dụng
route add 10.0.0.0 mask 255.0.0.0 10.0.99.99
... Trong đó địa chỉ đầu tiên (10.0.0.0 255.0.0.0) là mạng và mặt nạ công ty của bạn và địa chỉ thứ hai là cổng từ xa.
Bạn sẽ cần chạy nó mỗi khi bạn kết nối, vì vậy bạn có thể muốn kịch bản nó.
Lưu ý bên lề: một giải pháp thay thế sẽ là thuyết phục công ty của bạn thiết lập VPN của họ để sử dụng đường hầm phân tách; một đối số cho điều này là giảm băng thông và (IANAL) giảm trách nhiệm đối với lưu lượng truy cập web phi công ty chảy qua mạng của họ.