Waarom een VPN-hulpbron werk en ’n ander een nie reageer nie

Een private diens laai deur die tonnel en die volgende een kry ’n time-out, en die versoeking is om die hele kliëntprofiel te herbou. Die werkende diens is nuttiger as ’n kontrole as as ’n rede om heeltemal oor te begin. Dit bewys dat een bestemming, een poort en een magtigingspad bevredig is, en niks verder nie.

Twee dienste op dieselfde gateway kan deur verskillende adresfamilies, verskillende subnette en verskillende beleid bereik word.

Skei die werkende vloei van die mislukte een

Behandel elke diens as sy eie vloei, nie as ’n simptoom van “die VPN” nie. ’n Illustratiewe kliënt kan portal.corp.example by 172.20.4.15:443 oopmaak en steeds nie ’n databasis by 172.20.9.40:5432 bereik nie, want dit is twee bestemmings met twee reëlstelle. Skryf albei rye neer voordat jy iets verander, insluitend die poort en die protokol, want ’n reël wat TCP 443 op ’n gasheer toelaat, sê niks oor TCP 5432 op dieselfde gasheer nie.

Die mislukte ry is die een om te ondersoek. Die werkende ry sê net waar die basislyn sit, en dit sal die vergelykingspunt wees ná elke verandering wat jy maak.

Vergelyk adresse voordat jy name vergelyk

Los elke volle naam op deur die beleid wat die toepassing werklik gebruik, en teken dan die adresfamilie aan wat dit gekies het. Een naam kan ’n IPv6-adres teruggee terwyl ’n ander IPv4 teruggee, en ’n ou gekaste antwoord kan ’n versoek na ’n publieke adres stuur wat niks met die private diens te make het nie.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Die opsoek beantwoord ’n smal vraag: watter roete sou hierdie gasheer vir daardie bestemming kies, gegewe die huidige tabelle en beleidsreëls. ’n Roete vir 172.20.4.0/24 dek nie 172.20.9.0/24 nie, en ’n tweede netwerkbestuurder of ’n plaaslike roete met beter spesifisiteit kan die tonnel stilweg oorheers. Herhaal die opsoek binne die naamruimte of met die merk wat die toepassing gebruik wanneer dit van jou dop verskil. Teken ook die koppelvlak aan waarlangs die pakket vertrek, want die roetetabel kan een koppelvlak noem terwyl beleidsroetering die vloei deur ’n ander een stuur.

’n Roete wat pas, is ’n nodige voorwaarde, nie ’n toestemming nie. Dit sê vir jou die pakket het iewers om heen te gaan en niks oor of ’n vuurmuur, ’n magtigingsdiens of die gasheer self dit sal aanvaar nie.

Protokol en reaksiestadium sê waar dit stop

’n Ping-antwoord bewys nie dat ’n databasispoort oop is nie, en ’n suksesvolle HTTPS-bladsy magtig nie ’n lêerdeling op dieselfde masjien nie. Teken aan wat werklik teruggekom het eerder as om elke mislukking in een kategorie plat te slaan. ’n Time-out, ’n reset, ’n TLS-identiteitsfout en ’n toepassingsvlak-weiering wys elkeen na ’n ander laag.

Die onderskeid maak saak omdat die regstellings uiteenloop. Stilte beteken gewoonlik ’n roete-, vuurmuur- of vertaalprobleem op die pad. ’n Onmiddellike reset dui daarop dat iets die gasheer bereik het en die poort geweier het. ’n Sertifikaatfout beteken die verbinding het aangekom en die naam het nie gepas nie, wat ’n konfigurasieprobleem is eerder as ’n bereikbaarheidsprobleem. ’n Toepassingsweiering beteken die netwerk het sy werk gedoen en die identiteit is daarna verwerp.

Wanneer ’n hulpbron deur ’n gateway gepubliseer word, vergelyk die bronadres wat die bestemming sien met die bron wat jou kliënt dink hy gebruik. ’n Versoek wat deur die gateway self ontstaan, kan slaag terwyl dieselfde versoek van ’n kliënt misluk, want die twee kom van verskillende adresse en tref verskillende reëls.

Verander een veranderlike en herhaal albei versoeke

Identiteit is die laaste plek waar mense kyk en die eerste plek waar ’n korrekte weiering verskyn. Die VPN-aanmelding, die gidsgroep en die toepassingsrekening is drie afsonderlike identiteite wat kan uiteenloop. Toegang tot ’n portaal impliseer nooit toegang tot die databasis daaragter nie, en ’n naam in een gids skep nie ’n ry in ’n ander nie. As die diens buite die gebruiker se bedoelde omvang sit, is die weiering die stelsel wat werk.

Vra die hulpbron-eienaar om die beoogde aanspraak te bevestig in plaas daarvan om ’n breë roete by te voeg of ’n groep as toets oop te maak. Om die netwerk te verbreed om ’n punt te bewys, is hoe ’n tydelike diagnostiek ’n permanente blootstelling word, en dit vernietig die kontrole waarmee jy begin het. Een gedemonstreerde wanverhouding per iterasie is genoeg: ’n ontbrekende roete, ’n verkeerde adresfamilie, ’n geblokkeerde poort of ’n ontbrekende groeplidmaatskap.

Herhaal ná elke verandering albei versoeke en hou die uitvoer langs mekaar. Die ondersoek eindig wanneer die mislukte diens onder sy eie beleid werk terwyl die werkende diens en die weierings wat jy steeds verwag, presies soos voorheen optree.