TCP працуе, а UDP на тым жа порце трапляе на іншы сервер

Профіль працуе праз TCP і церпі няўдачу праз UDP з папярэджаннем пра сертыфікат. Інтуітыўнае прачытанне такое: шлях UDP парушыў давер, а інтуітыўнае выпраўленне — прыняць сертыфікат. Абедзве здагадкі апускаюць магчымасць, якая цалкам тлумачыць сімптом: два транспарты трапілі на розныя машыны. Правіла перасылкі супастаўляецца асобна для кожнага пратакола, і нішто не прымушае паловы TCP і UDP аднаго нумара порта паказваць на той жа хост.

Адзін нумар порта, два незалежныя правілы

Перасылка — гэта пошук у табліцы па пратаколе, адрасе прызначэння і порце. Шлюз з правілам для TCP 1194 і правілам для UDP 1194 выяўляе два незалежныя рашэнні, і яны могуць называць розныя ўнутраныя хасты. Супольны нумар — гэта зручнасць для людзей, а не ўласцівасць, якую навязвае сетка. Стаўцеся да нумара порта як да меткі, а не як да вызначэння службы.

Глядзіце на дзейныя правілы, а не на задуманыя. Адрас прызначэння, трандляваны порт і ўваходны інтэрфейс удзельнічаюць усе, а правіла, што засталося ад папярэдняй міграцыі, — звычайная прычына таго, што паловы не супадаюць.

Запішыце абодва адлюстраванні, перш чым змяняць што-небудзь іншае. Пара радкоў і ёсць уся гіпотэза.

Што кліент сапраўды праверыў

Падчас рукапаціску кліент правярае сертыфікат па наладжаным даверы і па чаканым імені. Нечаканы сертыфікат — гэта паспяховая праверка, якая не прайшла праверку тоеснасці, і гэта правільны вынік, калі суразмоўца не той, да каго вы хацелі трапіць. Яго адхіленне даказвае, што кліент працуе, а не што транспарт зламаны. Чытайце паведамленае імя раней за паведамлены ланцуг, бо менавіта імя кліент параўноўваў.

Розніца важная, бо дзве памылкі вядуць да розных выпраўленняў. Праблема даверу патрабуе выпраўлення даверу, тады як нечаканы суразмоўца патрабуе выпраўлення маршрутызацыі або перасылкі.

Занатуйце, якую тоеснасць паведаміў кліент. Гэта імя — наймацнейшая падказка пра тое, якая машына адказала.

Супастаўце спробу з серверам

Запішыце профіль, публічны адрас, транспарт і порт, якія выкарыстаў кліент. Затым супастаўце час спробы з журналам сервера, да якога вы хацелі трапіць. Яго адсутнасць — гэта зачэпка, а не доказ адкідання міжсетевым экранам, бо ўзроўні журналавання розныя паміж разгортваннямі. Адзнака часу разам з адрасам крыніцы звужае пошук мацней, чым кожная з іх асобна.

Параўнайце тоеснасць сертыфіката, з якім вы сутыкнуліся, з чаканай тоеснасцю праз адміністрацыйны канал. Менавіта гэта параўнанне па-за каналам захоўвае праверку надзейнай.

Праверце старыя правілы перасылкі, альтэрнатыўныя слухачы і любы шлях балансавання нагрузкі, перш чым заключыць, што абодва транспарты падзяляюць серверную частку. Кожны з іх можа перанакіраваць паток, не закранаючы іншы транспарт.

Не падганяйце давер пад памылковага суразмоўцу

Імпарт нечаканага CA прымушае сімптом знікнуць і змяняе тое, каму кліент давярае. Гэта горшы стан, чым няўдалае злучэнне, бо ён хавае разыходжанне замест таго, каб яго ўхіліць. Тое самае тычыцца выключэння праверкі толькі для таго, каб убачыць, ці падымаецца тунэль.

Калі суразмоўца апынецца законным, але ненаўмысным, правільнае дзеянне — вывесці яго з эксплуатацыі або накіраваць правіла на патрэбны хост. Сховішча даверу — не месца для ўзгаднення памылкі ў вопісе.

Захавайце тэкст адмовы. Гэта адзіны запіс пра тое, што бачыў кліент.

Пасля выпраўлення праверце новы паток

Выпраўце адлюстраванне і потым падключыцеся новым сеансам кліента. Трансляцыя з улікам стану можа трымаць наяўны паток на старым прызначэнні, таму ўсталяванае злучэнне можа перажыць змену і ўвесці вас у зман. Пачніце новае і пацвердзіце па журнале патрэбнага сервера, што ён апрацаваў спробу.

Калі абодва транспарты даказана дасягаюць аднаго сервера і ўсё ж паводзяць сябе па-рознаму, рэшткавая розніца — гэта ўласныя слухачы і канфігурацыя гэтага сервера. Параўнанне транспартаў мае сэнс толькі пасля таго, як тоеснасць канцавога пункта зафіксавана.