Showing Posts From

VPN

Soulock
2026年07月11日
- 技术

EasyTier 能 ping 通但 HTTP 不通：排查思路和解决方法

EasyTier 组网后能 ping 通对方，但 HTTP 访问失败——这是隧道已建立、应用层流量被拦截的典型现象。快速定位（3 条命令） ① 客户端测试 TCP 连通性 curl -v http://对方EasyTierIP:端口Connection refused：网络通，服务没监听 Connection timed out：防火墙或路由拦截返回 HTTP 内容：服务正常，排查客户端代理② 服务端抓包 sudo tcpdump -i tun0 tcp port 80同时客户端访问一次：抓包结果结论看到 SYN 流量到了服务器，查服务监听或防火墙看不到 SYN 路由或 EasyTier 转发问题SYN 无 SYN-ACK 防火墙或服务未监听③ 查看监听端口 ss -lntp | grep -E ':80|:443|:8080'原因一：服务只监听 127.0.0.1（最常见） ss -lntp 看到 127.0.0.1:80，EasyTier 的 tun0 流量就无法到达服务。修改方法： # uvicorn uvicorn main:app --host 0.0.0.0 --port 8000# nginx listen 0.0.0.0:80;# Node.js app.listen(80, '0.0.0.0')原因二：防火墙拦截 tun0 ping 用 ICMP，HTTP 用 TCP，如果防火墙只放行了 ICMP 或者对 EasyTier 网卡有限制： # 查看规则 sudo iptables -L -n sudo ufw status# 临时放行 tun0（测试用） sudo iptables -I INPUT -i tun0 -j ACCEPT sudo iptables -I FORWARD -i tun0 -j ACCEPT永久规则（以 ufw 为例）： sudo ufw allow in on tun0原因三：Docker 端口绑定到 localhost docker ps如果看到 127.0.0.1:80->80/tcp，改成： docker run -p 80:80 ...原因四：服务绑定到特定网卡 IP 服务器有多个网卡（公网 IP + EasyTier IP），应用可能只绑到了公网 IP： ss -lntp | grep 8080如果看到 103.x.x.x:8080，需要改为 0.0.0.0:8080。原因五：代理劫持 HTTP 流量系统装了 Clash、sing-box 等，可能把内网 IP 的 HTTP 也走了代理： curl --noproxy '*' http://10.x.x.x如果这样能通，就是代理规则问题，把 EasyTier 网段加入 bypass 列表。原因六：MTU 问题现象：ping 小包正常，HTTP 建连后卡住或大文件下载失败。 ping -M do -s 1472 目标IP失败则把 EasyTier 网卡 MTU 调小： sudo ip link set tun0 mtu 1280EasyTier 配置自定义 IP 段默认 dhcp = true 由网络中的 DHCP 节点分配 IP。如果要固定 IP： dhcp = false ipv4 = "10.88.0.2/24"如果加入的是他人的 EasyTier 网络，单方面改客户端配置通常不生效，需要整个网络统一规划地址段。诊断工具速查 # 确认 EasyTier 接口和 IP ip addr show tun0# 确认路由（流量是否走 tun0） ip route | grep tun0# TCP 连通性测试 nc -vz 目标IP 80# 本机自测（服务端执行） curl -v http://127.0.0.1:80 curl -v http://tun0_IP:80

Soulock
2026年06月22日
- 工具分享

Citrix Gateway 三种模式：Full VPN / Clientless / ICA Proxy 怎么区分

在公司里用 Citrix Gateway（以前叫 NetScaler Gateway）远程办公，能不能 ping 内网、能不能 mstsc 到某台内网机器——完全取决于管理员开的是哪种模式。三种模式差别很大：三种模式 1. Full VPN（完整 VPN）登录 Gateway 后建立 VPN 隧道，你的电脑相当于接进了公司内网。能做的： ping 10.0.0.1 mstsc 10.0.0.100 \\10.0.0.50\share内网 API、SMB 共享、RDP 都能直接连。最接近传统 VPN。 2. Clientless VPN（无客户端 VPN）只能通过 Gateway 的网页入口访问管理员发布过的内网网站： https://gateway.company.com/vpn/index.html ├─ OA 系统 ├─ JIRA ├─ GitLab └─ Exchange OWAGateway 帮你反向代理到内网。只有网页可访问——ping / RDP / SMB 全都不行。 3. ICA Proxy（最常见）登录 Gateway 后看到的不是网页应用列表，而是远程桌面 / 应用： [Windows 桌面] [SAP] [Outlook] [Chrome]点击后：浏览器下载 .ica 文件 Citrix Workspace 客户端打开连到内网一台服务器上运行你本机没进内网——只是远程操作一台内网机器。所有操作都在那台远端上完成，本机能看到的只是画面像素。怎么判断自己是哪种登录 Gateway 之后：方法 1：看网卡 ipconfigFull VPN 会多出：以太网适配器 Citrix Secure Access: 以太网适配器 Citrix VPN Adapter:看到就是 Full VPN。方法 2：看路由 route printFull VPN 里有内网网段被路由到 Citrix 虚拟网卡： 10.0.0.0 255.0.0.0 10.0.0.1 <Citrix 网卡 IP>方法 3：直接 ping 内网 ping 10.x.x.x telnet 10.x.x.x 3389通 = Full VPN，不通 = Clientless 或 ICA Proxy。方法 4：登录后看到什么登录 Gateway 网页后：看到大概率是一堆网页链接 Clientless VPN桌面 / 应用图标（点了下 ica） ICA Proxy什么都没看到，只有 VPN 状态 Full VPNICA Proxy 想访问其它内网资源基本上不行。ICA Proxy 的设计初衷就是"给远程用户桌面 / 应用"，不给完整内网访问权限。安全模型里这是"最小暴露面"的选择。想访问需要管理员：开启 Full VPN 策略（Citrix Secure Access Client）或者把你需要的服务发布成 Clientless 应用或者给你专门开一个 RDP 会话，你从那台机器上操作传大文件的坑 ICA Proxy 模式下想把本机文件传到远端会话：Citrix Workspace 支持"客户端驱动映射"，可以把本地磁盘挂进远端会话，管理员可能禁用剪贴板：可能双向、可能单向、可能禁用，也是策略控制的上传下载按钮：Citrix Workspace 本身有，但公司常常禁真被卡住只能靠在远端邮箱收发、通过 WebOA 上传中转等等。或者直接找 IT 开权限。 Full VPN 的坑即使有 Full VPN 也不等于什么都能访问：分段路由：管理员可能只给部分内网网段路由，比如只给你 10.10.0.0/16，其它照样不通应用层过滤：Gateway 可以按端口 / 协议限制，明明有路由但 RDP 不通 DNS：需要用公司内 DNS，否则内网域名解析不了route print 看到给了哪些网段，就只能访问那些网段。一句话总结 Citrix Gateway 三种模式—— Full VPN 拿到内网路由、Clientless 只发布网页、ICA Proxy 只是远端桌面像素。看 ipconfig 有没有 Citrix 网卡最快分辨。想要更多权限，只能找管理员改策略。

Soulock
2025年08月19日
- 技术

TUN/TAP 虚拟网卡与 VPN 代理：TUN0 路由拦截与 TAP0901 驱动

TUN vs TAP特性 TUN TAP模拟对象 IP 网络接口以太网卡工作层第三层（IP 层）第二层（数据链路层）处理单元 IP 数据包以太网帧支持协议仅 IP IP、ARP、广播等典型用途全局路由代理局域网桥接CPU 开销较小较大TUN 适合"全部流量走 VPN"，TAP 适合"需要访问远程 LAN 内设备"的桥接场景。 TUN 模式的流量拦截 VPN 客户端启用 TUN 模式的流程：创建虚拟网卡 tun0 修改系统路由表，将默认路由（0.0.0.0/0）指向 tun0 所有出站 IP 包经过 tun0 → VPN 客户端加密封装 → 通过真实网卡发送到 VPN 服务器[本地应用] | (IP 包) v [tun0 虚拟网卡] | (加密封装) v [VPN 客户端程序] | v [VPN 服务器 -> 目标网络]TUN 全局模式会代理 localhost 开启全局代理时，若未排除环回地址，127.0.0.1 的流量也会被 tun0 拦截，导致本地服务访问失败。排除 localhost（OpenVPN 配置） route 127.0.0.1 255.0.0.0 net_gateway或在客户端设置中勾选"分流模式"，只代理外网 IP。 TAP0901 驱动（Windows） TAP-Windows Adapter V9（tap0901）是 OpenVPN 在 Windows 上使用的虚拟以太网卡驱动，安装后在网络适配器列表中以普通网卡形式出现。驱动通过设备文件暴露接口： \\.\Global\{TAP-Adapter-GUID}.tapJava 通过 JNA 读写数据包 // 打开设备文件 HANDLE h = Kernel32.INSTANCE.CreateFile( "\\\\.\\Global\\{GUID}.tap", WinNT.GENERIC_READ | WinNT.GENERIC_WRITE, 0, null, WinNT.OPEN_EXISTING, WinNT.FILE_ATTRIBUTE_NORMAL, null );// 读取以太网帧 byte[] buf = new byte[2048]; IntByReference bytesRead = new IntByReference(); Kernel32.INSTANCE.ReadFile(h, buf, buf.length, bytesRead, null);// 写入以太网帧 Kernel32.INSTANCE.WriteFile(h, buf, bytesRead.getValue(), bytesRead, null);操作虚拟网卡需要管理员权限。TAP0901 只在 Windows 上可用；Linux 和 macOS 使用系统内置的 TUN/TAP 接口。实现 VPN 客户端的选型目标方案难度仅代理指定应用流量纯 Socket / SOCKS5 代理低全局系统流量拦截 TUN/TAP 驱动 + JNI/JNA 高Java 只能做用户空间的协议与加密逻辑；全局流量拦截必须借助内核级虚拟网卡驱动（TUN/TAP）。