Чаму адзін рэсурс VPN працуе, а другі сканчаецца па тайм-аўце

Адна прыватная служба загружаецца праз тунель, а наступная сканчаецца па тайм-аўце, і ўзнікае спакуса цалкам перабудаваць профіль кліента. Працоўная служба карыснейшая як кантроль, чым як прычына пачаць усё спачатку. Яна даказвае, што адзін пункт прызначэння, адзін порт і адзін шлях аўтарызацыі былі задаволены, і нічога звыш гэтага.

Да дзвюх службаў на адным шлюзе можна дабрацца праз розныя сямействы адрасоў, розныя падсеткі і розную палітыку.

Аддзяліце працоўны паток ад таго, што не працуе

Разглядайце кожную службу як асобны паток, а не як сімптом «VPN». Паказальны кліент можа адкрыць portal.corp.example на 172.20.4.15:443 і ўсё ж не дабрацца да базы даных на 172.20.9.40:5432, бо гэта два пункты прызначэння з двума наборамі правілаў. Запішыце абодва радкі, перш чым нешта змяняць, уключна з портам і пратаколам, бо правіла, якое дазваляе TCP 443 на хаце, нічога не кажа пра TCP 5432 на тым жа хаце.

Радок, які не працуе, — гэта тое, што трэба даследаваць. Працоўны радок толькі паказвае, дзе знаходзіцца базавая лінія, і будзе пунктам параўнання пасля кожнай змены.

Параўнайце адрасы, перш чым параўноўваць імёны

Развяжыце кожнае поўнае імя праз палітыку, якую рэальна выкарыстоўвае праграма, затым запішыце абранае сямейства адрасоў. Адно імя можа вярнуць адрас IPv6, а іншае — IPv4, і стары закешаваны адказ можа адправіць запыт на публічны адрас, які не мае ніякага дачынення да прыватнай службы.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Пошук адказвае на вузкае пытанне: які маршрут выбраў бы гэты хост для таго пункта прызначэння пры бягучых табліцах і правілах палітыкі. Маршрут для 172.20.4.0/24 не пакрывае 172.20.9.0/24, а другі менеджэр сеткі або лакальны маршрут з лепшай дакладнасцю можа ціха перакрыць тунель. Паўтарыце пошук унутры прасторы імёнаў або з пазнакай, якую выкарыстоўвае праграма, калі яны адрозніваюцца ад вашай абалонкі. Запішыце таксама інтэрфейс, праз які выходзіць пакет, бо табліца маршрутаў можа называць адзін інтэрфейс, а маршрутызацыя па палітыцы выводзіць паток праз іншы.

Маршрут, які супадае, — гэта неабходная ўмова, а не дазвол. Ён кажа, што пакету ёсць куды ісці, і нічога пра тое, ці прыме яго файрвол, служба аўтарызацыі або сам хост.

Пратакол і этап адказу паказваюць, дзе ўсё спыняецца

Адказ на ping не даказвае, што порт базы даных адкрыты, а паспяховая старонка HTTPS не дае права на агульны доступ да файлаў на той жа машыне. Запісвайце, што фактычна вярнулася, замест таго каб згладжваць кожную няўдачу ў адну катэгорыю. Тайм-аўт, скід, памылка ідэнтычнасці TLS і адмова на ўзроўні праграмы — кожная ўказвае на розны ўзровень.

Розніца важная, бо выпраўленні разыходзяцца. Цішыня звычайна азначае праблему з маршрутам, файрволам або трансляцыяй на шляху. Імгненны скід мяркуе, што нешта дайшло да хоста і адмовіла ў порце. Памылка сертыфіката азначае, што злучэнне дайшло, а імя не супала, і гэта праблема канфігурацыі, а не дасяжнасці. Адмова праграмы азначае, што сетка зрабіла сваю справу, а ідэнтычнасць адхілілі пасля.

Калі рэсурс апублікаваны праз шлюз, параўнайце адрас крыніцы, які бачыць пункт прызначэння, з тым, які, на думку вашага кліента, ён выкарыстоўвае. Запыт, які паходзіць ад самога шлюза, можа паспяхова прайсці, тады як той жа запыт ад кліента не, бо яны прыходзяць з розных адрасоў і сустракаюць розныя правілы.

Змяніце адну зменную і паўтарэце абодва запыты

Ідэнтычнасць — апошняе месца, куды людзі глядзяць, і першае, дзе з'яўляецца слушная адмова. Лагін у VPN, група каталога і ўліковы запіс праграмы — тры асобныя ідэнтычнасці, якія могуць разыходзіцца. Доступ да партала ніколі не азначае доступ да базы даных за ім, а імя ў адным каталозе не стварае радок у іншым. Калі служба знаходзіцца па-за меркаваным ахопам карыстальніка, адмова — гэта сістэма, якая працуе.

Папрасіце ўласніка рэсурсу пацвердзіць меркаванае права замест таго каб дадаваць шырокі маршрут або адкрываць групу для тэсту. Пашырэнне сеткі, каб даказаць думку, — гэта шлях, якім часовы дыягностыка ператвараецца ў пастаянную ўразлівасць, і яно знішчае кантроль, з якога вы пачалі. Адна даказаная неадпаведнасць за ітэрацыю дастатковая: адсутны маршрут, няправільнае сямейства адрасоў, заблакаваны порт або адсутнае сяброўства ў групе.

Пасля кожнай змены паўтарыце абодва запыты і трымайце вынікі побач. Даследаванне заканчваецца, калі служба, што не працавала, працуе паводле ўласнай палітыкі, а працоўная служба і адмовы, якіх вы ўсё яшчэ чакаеце, паводзяць сябе дакладна як раней.