شبكة VPN من موقع إلى موقع تعمل في اتجاه واحد: عطلان مختلفان

الموقع A يصل إلى B، وB لا يستطيع الوصول إلى A، والنفق يبدو سليمًا في الاتجاهين. قبل أن تلمس النفق، حدّد أي عطل لديك فعلًا. اتصال جديد يبدأ عند B ويُرفض، ورد على اتصال بدأ عند A ولا يصل أبدًا، ينتجان شكاوى متشابهة وتشخيصات مختلفة تمامًا. أحدهما مشكلة سياسة أو مسار على الطريق؛ والآخر مشكلة مسار عودة أو حالة لحركة كان مسموحًا بها أصلًا.

هذا التمييز يحدد أي الأوامر يستحق التشغيل.

عطلان يبدوان متطابقين

في الحالة الأولى يرسل مضيف B حزمة SYN إلى A، ولا يعود شيء. في الثانية يفتح مضيف A جلسة بنجاح ويختفي الرد في طريق العودة. يقول المستخدمان إن الوصلة باتجاه واحد، وكلاهما يصف حزمة اختفت، لذا لا يكفي الوصف وحده للفصل بينهما.

اسأل أي طرف بدأ المحاولة التي فشلت. هذه الحقيقة وحدها تزيل نصف الأسباب المحتملة.

ثم تحقق من أن الاختبار استخدم المضيفين والخدمة نفسيهما طوال الوقت. أمر ping من جهة واتصال مشاركة ملفات من الجهة الأخرى يختبران شيئين مختلفين، وقد يختار تشخيص صادر من البوابة عنوان نفق لا تستخدمه أي حركة مستخدمين.

الحالة الأولى: مسار العودة مفقود

قد يستقبل خادم بعيد يجيب عبر بوابة افتراضية مختلفة الطلب ويوجّه الرد إلى مكان آخر. عندها تُسقط جدران الحماية التي تتعقب الحالة الرد غير المتماثل لأنه لا يطابق تدفقًا قائمًا، وهو ما يبدو تمامًا كاتجاه لم يعمل قط. الترجمة تضيف نسخة أخرى: ترى الوجهة عنوان مصدر مترجمًا وترد عليه، لذا لا تطابق قاعدة كُتبت للعنوان الأصلي أبدًا.

تحقق من العنوان الذي تراه الوجهة فعليًا بعد الترجمة، ومن مسار العودة لذلك العنوان بدلًا من الشبكة الفرعية الأصلية.

الحالة الثانية: السياسة لم تسمح به قط

الحالة المعاكسة أبسط وأشيع مما تبدو: مكتب مقصود أن يستهلك خدمة مركزية وألا يبدأ اتصالات نحو المركز أبدًا. هذا التفاوت قرار وصول مقصود، والنفق يعمل كما صُمم. اقرأ سياسة الوصول قبل تغيير أي إعداد في النفق. الوثيقة، لا التقاط الحزم، هي التي تنص على الاتجاه المقصود. الالتقاط لا يُظهر إلا ما حدث، لا ما كان مصرحًا به.

إذا كان البدء في الاتجاهين مطلوبًا فعلًا، فأضف إذن الخدمة المحددة عبر مجموعة القواعد المدعومة في المنصة. جعل كل شبكة فرعية موثوقة بشكل متبادل لإصلاح تطبيق واحد يحوّل حاجة ضيقة إلى إذن واسع، ونادرًا ما تُراجع هذه المقايضة لاحقًا.

قارن قبل وبعد على المضيفين نفسيهما

راقب طرفي المحاولة نفسها، لا محاولتين منفصلتين. التقط على بوابة المضيف البادئ وعلى الوجهة، ثم قارن ما دخل وما خرج وأي عنوان رآه الطرف البعيد.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

إذا أظهر الالتقاط عند الوجهة الطلب بعنوان مصدر غير متوقع، فالجواب في الترجمة أو التوجيه لا في سياسة أمن النفق. وإذا لم تُظهر الوجهة أي طلب إطلاقًا، فالحزمة لم تعبر المسار المحمي قط.

بعد التصحيح، أعد الاختبار نفسه من المضيف نفسه وتأكد أن الوصول غير المتصل لا يزال مرفوضًا. حالة النفق “established” لا تدعم أيًا من الاستنتاجين بمفردها.