TCP работи, а UDP на същия порт достига до друг сървър

Профил работи през TCP и се проваля през UDP с предупреждение за сертификат. Интуитивното четене е, че пътят UDP е нарушил доверието, а интуитивната поправка е да приемете сертификата. И двете допускания пропускат възможност, която напълно обяснява симптома: двата транспорта са стигнали до различни машини. Правилото за препращане се съпоставя по протокол и нищо не принуждава половините TCP и UDP на един номер на порт да сочат към един и същ хост.

Един номер на порт, две независими правила

Препращането е търсене в таблица по протокол, адрес на местоназначение и порт. Шлюз с правило за TCP 1194 и правило за UDP 1194 изразява две независими решения и те могат да именуват различни вътрешни хостове. Общият номер е удобство за хората, а не свойство, което мрежата налага. Отнасяйте се към номера на порта като към етикет, а не като към дефиниция на услуга.

Гледайте действащите правила, а не намерените. Адресът на местоназначение, транслационният порт и входящият интерфейс участват всички, а правило, останало от предишна миграция, е обичайната причина двете половини да не съвпадат.

Запишете двете съпоставяния, преди да промените каквото и да било друго. Двойката редове е цялата хипотеза.

Какво клиентът наистина провери

По време на ръкостискането клиентът проверява сертификата спрямо конфигурираното доверие и спрямо очакваното име. Неочакваният сертификат е успешна проверка, която не е преминала проверката на самоличността, и това е правилният резултат, когато отсрещната страна не е тази, която сте искали да достигнете. Отхвърлянето му е доказателство, че клиентът работи, а не че транспортът е счупен. Четете съобщеното име преди съобщената верига, защото именно името клиентът е сравнил.

Разликата е важна, защото двете грешки водят до различни поправки. Проблем с доверието изисква поправка на доверието, докато неочаквана отсрещна страна изисква поправка на маршрутизацията или препращането.

Отбележете каква самоличност е съобщил клиентът. Това име е най-силната следа за това коя машина е отговорила.

Свържете опита със сървър

Запишете профила, публичния адрес, транспорта и порта, които клиентът е използвал. След това съпоставете времето на опита с журнала на сървъра, който сте искали да достигнете. Липсата там е следа, а не доказателство, че защитната стена е отхвърлила пакета, защото нивата на журналиране се различават между внедряванията. Отпечатък от време заедно с адрес на източника стеснява повече от всяко от двете само.

Сравнете самоличността на сертификата, на който се натъкнахте, с очакваната самоличност през административен канал. Именно това сравнение извън канала поддържа проверката надеждна.

Проверете стари правила за препращане, алтернативни слушатели и всеки път за балансиране на натоварването, преди да заключите, че двата транспорта споделят бекенд. Всяко от тях може да пренасочи поток, без да засяга другия транспорт.

Не нагаждайте доверието към грешна отсрещна страна

Импортирането на неочаквания CA кара симптома да изчезне и променя на кого клиентът вярва. Това е по-лошо състояние от неуспешна връзка, защото скрива несъответствието, вместо да го разреши. Същото важи за изключването на проверката само за да видите дали тунелът се вдига.

Ако отсрещната страна се окаже законна, но непреднамерена, правилното действие е да я изведете от експлоатация или да насочите правилото към правилния хост. Хранилището за доверие не е мястото за съгласуване на грешка в инвентара.

Запазете текста на отказа. Това е единственият запис за това какво е видял клиентът.

След поправката изпробвайте нов поток

Поправете съпоставянето и след това се свържете с нова клиентска сесия. Транслацията със състояние може да задържи съществуващ поток към старото местоназначение, така че установена връзка може да преживее промяната и да ви подведе. Започнете нова и потвърдете в журнала на предвидения сървър, че е обработил опита.

Ако двата транспорта доказано достигат до един и същ сървър и все пак се държат различно, останалата разлика са собствените слушатели и конфигурация на този сървър. Сравнението на транспортите има смисъл само след като самоличността на крайната точка е установена.