Недавно я обнаружил, что, когда моя рабочая станция подключается через VPN-соединение, ее SSH-сервер не может быть подключен с удаленного сайта. Я уверен, что это проблема маршрутизации, потому что VPN-клиент меняет шлюз по умолчанию на его равноправный (VPN-сервер) соединения ppp.
Есть ли решение сделать сервер SSH и VPN-клиента счастливыми?
Когда вы используете vpn, как правило, сеть vpn захватывает весь ваш интерфейс, так что вы можете маршрутизировать только из сети vpn, а не из Интернета в целом. Большинство людей решают эту проблему, запустив vm (virtualbox и т. Д.) И подключившись к vpn на этой виртуальной машине, чтобы он не полностью подключил основное соединение к реальной машине.
Перед тем, как приступить к настройке сети, проверьте, прослушивает ли рассматриваемый ssh-сервер интерфейс vpn. Может быть, это связано с конкретным интерфейсом на вашем сервере.
Пример
netstat -aвывода:Сервер ssh в этом примере прослушивает все интерфейсы (отмеченные звездочкой
*:ssh. Если в вашей системе вместо этого есть адрес хоста, сервер ssh привязан к определенным интерфейсам.Отредактируйте
/etc/ssh/sshd_configи установите,ListenAddress 0.0.0.0чтобы отрегулировать это, если необходимо.Если sshd уже слушает правильные интерфейсы, не стесняйтесь войти в подземелье маршрутизации :-)
источник
ListenAddressбыть установлен? IP сервера на локальном интерфейсе? IP роутера? Что-то другое?Вы говорите о разделенном туннелировании. Если вы достаточно знакомы с инструментом командной строки ROUTE.EXE , вы можете изучить маршруты, размещенные VPN-клиентом, и удалить их. Затем вам нужно добавить еще один, чтобы только трафик вашей корпоративной локальной сети проходил через шлюз VPN.
В частности, вы бы использовали
... чтобы получить список записей маршрутизации. Не видя вывода, похоже, что ваш VPN-клиент разместил бы запись по умолчанию (0.0.0.0), причем шлюз является равноправным шлюзом VPN. Ты можешь использовать
... например, чтобы удалить все записи, указывающие на сеть 10.xxx.
Вы можете использовать
... где первый адрес (10.0.0.0 255.0.0.0) - это ваша корпоративная сеть и маска, а второй адрес - это удаленный шлюз.
Вам нужно будет запускать это каждый раз, когда вы подключаетесь, так что вы можете захотеть написать скрипт.
Примечание: альтернативой было бы убедить вашу компанию настроить VPN для использования раздельного туннелирования; аргументом для этого является снижение пропускной способности и (IANAL) снижение ответственности за не корпоративный веб-трафик, проходящий через их сеть.
источник