Sayt-sayt VPN yalnız bir istiqamətdə işləyir: iki fərqli nasazlıq

Sayt A B-yə çatır, B isə A-ya çata bilmir, tunel isə hər iki istiqamətdə qaydasında görünür. Tunelə toxunmazdan əvvəl hansı nasazlığın olduğunu müəyyənləşdirin. B-də başladılan və rədd edilən yeni bağlantı ilə A-dan başladılan bağlantının heç vaxt çatmayan cavabı oxşar şikayətlər və tamamilə fərqli diaqnozlar yaradır. Biri yolda siyasət və ya marşrut problemidir; digəri artıq icazə verilmiş trafik üçün geri dönüş yolu və ya vəziyyət problemidir.

Bu fərq hansı əmrləri işə salmağa dəyər olduğunu müəyyən edir.

Eyni görünən iki nasazlıq

Birinci halda B-nin hostu A-ya SYN göndərir və heç nə qayıtmır. İkinci halda A-nın hostu sessiyanı uğurla açır və cavab geri yolda yox olur. İki istifadəçi də keçidin birtərəfli olduğunu deyir və hər ikisi yox olan paketi təsvir edir, ona görə təsvirin özü onları ayıra bilmir.

Uğursuz olan cəhdin hansı tərəfdən başladığını soruşun. Bu tək fakt mümkün səbəblərin yarısını aradan qaldırır.

Sonra yoxlayın ki, test boyu eyni hostlar və xidmət istifadə olunub. Bir tərəfdən ping, digər tərəfdən fayl paylaşımı bağlantısı iki fərqli şeyi sınayır və şlüzdən gələn diaqnostika heç bir istifadəçi trafikinin istifadə etmədiyi tunel ünvanını seçə bilər.

Birinci hal: geri dönüş yolu yoxdur

Fərqli standart şlüz vasitəsilə cavab verən uzaq server sorğunu qəbul edib cavabı başqa yerə yönləndirə bilər. Vəziyyəti izləyən firewall-lar sonra asimmetrik cavabı atır, çünki o, qurulmuş axına uyğun gəlmir və bu, heç vaxt işləməmiş istiqamət kimi görünür. Tərcümə başqa bir variant əlavə edir: təyinat tərcümə edilmiş mənbə görür və ona cavab verir, ona görə orijinal ünvan üçün yazılmış qayda heç vaxt uyğun gəlmir.

Tərcümədən sonra təyinatın həqiqətən gördüyü ünvanı və orijinal alt şəbəkə üçün deyil, həmin ünvan üçün geri dönüş marşrutunu yoxlayın.

İkinci hal: siyasət buna heç vaxt icazə verməyib

Əksi hal göründüyündən sadə və daha geniş yayılmışdır: bir ofis mərkəzi xidməti istehlak etməli və mərkəzə heç vaxt bağlantı başlatmamalıdır. Bu asimmetriya qəsdən verilmiş giriş qərarıdır və tunel dizayn edildiyi kimi işləyir. Hər hansı tunel parametrini dəyişməzdən əvvəl giriş siyasətini oxuyun. Hansı istiqamətin nəzərdə tutulduğunu paket tutma deyil, sənəd göstərir. Tutma yalnız nə baş verdiyini göstərir, nəyə icazə verildiyini yox.

Əgər iki istiqamətli başlatma həqiqətən tələb olunursa, platformanın dəstəklənən qayda dəsti vasitəsilə konkret xidmət icazəsini əlavə edin. Bir tətbiqi düzəltmək üçün hər alt şəbəkəni qarşılıqlı etibarlı etmək dar tələbi geniş icazəyə çevirir və bu mübadilə sonradan nadir hallarda nəzərdən keçirilir.

Eyni hostlarda əvvəl və sonranı müqayisə edin

Eyni cəhdin iki ucunu izləyin, iki ayrı cəhdi yox. Başladan hostun şlüzunda və təyinatda tutma aparın, sonra nəyin daxil olduğunu, nəyin çıxdığını və uzaq tərəfin hansı ünvanı gördüyünü müqayisə edin.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Əgər təyinatdakı tutma sorğunu gözlənilməz mənbə ünvanı ilə göstərirsə, cavab tunelin təhlükəsizlik siyasətində deyil, tərcümə və ya marşrutlaşdırmadadır. Əgər təyinat heç bir sorğu göstərmirsə, paket qorunan yoldan heç keçməyib.

Düzəlişdən sonra eyni hostdan eyni testi təkrarlayın və əlaqəsiz girişin hələ də rədd edildiyini təsdiqləyin. “established” tunel statusu təkbaşına bu nəticələrin heç birini dəstəkləmir.