TCP radi, a UDP na istom portu dolazi do drugog poslužitelja

Profil radi preko TCP-a i ne uspijeva preko UDP-a uz upozorenje o certifikatu. Intuitivno čitanje je da je UDP put prekinuo povjerenje, a intuitivni ispravak je prihvatiti certifikat. Obje pretpostavke preskaču mogućnost koja u potpunosti objašnjava simptom: dva prijenosa stigla su do različitih računala. Pravilo prosljeđivanja uspoređuje se po protokolu i ništa ne prisiljava TCP i UDP polovice istog broja porta da pokazuju na istog hosta.

Jedan broj porta, dva neovisna pravila

Prosljeđivanje je pretraga tablice prema protokolu, odredišnoj adresi i portu. Pristupnik s pravilom za TCP 1194 i pravilom za UDP 1194 izražava dvije neovisne odluke, a one mogu imenovati različite interne hostove. Zajednički broj je pogodnost za ljude, a ne svojstvo koje mreža nameće. Tretirajte broj porta kao oznaku, a ne kao definiciju usluge.

Gledajte stvarna pravila, a ne namjeravana. Odredišna adresa, prevedeni port i ulazno sučelje svi sudjeluju, a pravilo zaostalo iz ranije migracije uobičajen je razlog zašto se dvije polovice ne slažu.

Zapišite oba preslikavanja prije nego što promijenite bilo što drugo. Par redaka je cijela hipoteza.

Što je klijent stvarno provjerio

Tijekom rukovanja klijent provjerava certifikat prema konfiguriranom povjerenju i prema imenu koje očekuje. Neočekivani certifikat je uspješna provjera koja nije prošla provjeru identiteta, i to je ispravan ishod kada druga strana nije ona koju ste htjeli dosegnuti. Njegovo odbijanje dokaz je da klijent radi, a ne da je prijenos pokvaren. Čitajte prijavljeno ime prije prijavljenog lanca, jer ime je ono što je klijent usporedio.

Razlika je važna jer dvije greške vode do različitih ispravaka. Problem povjerenja traži ispravak povjerenja, dok neočekivana strana traži ispravak usmjeravanja ili prosljeđivanja.

Zabilježite koji je identitet klijent prijavio. To je ime najjači trag o tome koje je računalo odgovorilo.

Povežite pokušaj s poslužiteljem

Zabilježite profil, javnu adresu, prijenos i port koje je klijent koristio. Zatim usporedite vrijeme pokušaja s zapisom poslužitelja koji ste htjeli dosegnuti. Njegov izostanak trag je, a ne dokaz da je vatrozid odbacio paket, jer razine zapisivanja razlikuju se među instalacijama. Vremenska oznaka zajedno s izvornom adresom sužava to više nego bilo koja od njih sama.

Usporedite identitet certifikata na koji ste naišli s očekivanim identitetom putem administrativnog kanala. Upravo ta usporedba izvan kanala održava provjeru pouzdanom.

Provjerite stara pravila prosljeđivanja, alternativne slušače i svaki put ravnoteže opterećenja prije nego zaključite da oba prijenosa dijele pozadinu. Svaki od njih može preusmjeriti tok bez diranja drugog prijenosa.

Ne prilagođavajte povjerenje pogrešnoj strani

Uvoz neočekivanog CA čini da simptom nestane i mijenja kome klijent vjeruje. To je gore stanje od neuspjele veze, jer skriva nesklad umjesto da ga riješi. Isto vrijedi za isključivanje provjere samo da bi se vidjelo hoće li tunel ustati.

Ako se strana pokaže legitimnom, ali nenamjernom, ispravan je postupak povući je ili usmjeriti pravilo na pravi host. Pohrana povjerenja nije mjesto za usklađivanje pogreške u inventaru.

Sačuvajte tekst odbijanja. To je jedini zapis o tome što je klijent vidio.

Nakon ispravka isprobajte novi tok

Ispravite preslikavanje i zatim se povežite novom klijentskom sesijom. Prijevod sa stanjem može zadržati postojeći tok na starom odredištu, pa uspostavljena veza može preživjeti promjenu i zavarati vas. Pokrenite novu i potvrdite u zapisu predviđenog poslužitelja da je obradio pokušaj.

Ako oba prijenosa dokazivo dosegnu isti poslužitelj i ipak se ponašaju različito, preostala razlika su vlastiti slušači i konfiguracija tog poslužitelja. Usporedba prijenosa ima smisla tek kad je identitet krajnje točke utvrđen.