TCP funciona i UDP arriba a un altre servidor al mateix port

Un perfil funciona per TCP i falla per UDP amb un avís de certificat. La lectura intuïtiva és que la ruta UDP va trencar la confiança, i la correcció intuïtiva és acceptar el certificat. Totes dues suposicions ometen una possibilitat que explica el símptoma del tot: els dos transports van arribar a màquines diferents. Una regla de reenviament s’emparella per protocol, i res no obliga les meitats TCP i UDP d’un mateix número de port a apuntar al mateix amfitrió.

Un número de port, dues regles independents

El reenviament és una consulta de taula indexada per protocol, adreça de destinació i port. Una passarel·la amb una regla per a TCP 1194 i una regla per a UDP 1194 expressa dues decisions independents, i aquestes poden nomenar amfitrions interns diferents. El número compartit és una comoditat per a les persones, no una propietat que la xarxa imposi. Tracteu el número de port com una etiqueta i no com una definició de servei.

Mireu les regles efectives i no les previstes. L’adreça de destinació, el port traduït i la interfície d’entrada hi participen tots, i una regla sobrant d’una migració anterior sol ser la raó que les dues meitats no coincideixin.

Escriviu les dues assignacions abans de canviar qualsevol altra cosa. La parella de línies és tota la hipòtesi.

Què va verificar realment el client

Durant l’encaixada de mans el client comprova el certificat contra la confiança configurada i contra el nom que espera. Un certificat inesperat és una verificació correcta que va fallar la comprovació d’identitat, que és el resultat adequat quan el parell no és el que volíeu assolir. Rebutjar-lo és prova que el client funciona, no que el transport estigui trencat. Llegiu el nom informat abans que la cadena informada, perquè el nom és el que el client va comparar.

Aquesta distinció importa perquè els dos errors porten a correccions diferents. Un problema de confiança necessita una correcció de confiança, mentre que un parell inesperat necessita una correcció d’encaminament o de reenviament.

Anoteu quina identitat va informar el client. Aquest nom és la pista més forta sobre quina màquina va respondre.

Correlacioneu l’intent amb un servidor

Registreu el perfil, l’adreça pública, el transport i el port que va fer servir el client. Després cotegeu l’hora de l’intent amb el registre del servidor que volíeu assolir. La seva absència és una pista i no una prova que el tallafoc l’hagi descartat, perquè els nivells de registre varien entre desplegaments. Una marca de temps juntament amb una adreça d’origen ho acota més que qualsevol de les dues per separat.

Compareu la identitat del certificat que heu trobat amb la identitat esperada mitjançant un canal administratiu. Aquesta comparació fora del canal és la que manté fiable la comprovació.

Reviseu regles de reenviament antigues, oients alternatius i qualsevol camí de balanceig de càrrega abans de concloure que els dos transports comparteixen un backend. Cadascun d’aquests pot redirigir un flux sense tocar l’altre transport.

No ajusteu la confiança a un parell equivocat

Importar la CA inesperada fa desaparèixer el símptoma i canvia en qui confia el client. És un estat pitjor que una connexió fallida, perquè amaga la discrepància en lloc de resoldre-la. El mateix val per a desactivar la verificació només per veure si el túnel s’aixeca.

Si el parell resulta legítim però no desitjat, l’acció correcta és retirar-lo o adreçar la regla a l’amfitrió correcte. El magatzem de confiança no és el lloc per conciliar un error d’inventari.

Conserveu el text del rebuig. És l’únic registre del que el client va veure.

Després de la correcció, proveu un flux nou

Corregiu l’assignació i després connecteu-vos amb una sessió de client nova. La traducció amb estat pot mantenir un flux existent apuntat a la destinació antiga, així que una connexió establerta pot sobreviure al canvi i enganyar-vos. Comenceu-ne una de nova i confirmeu al registre del servidor previst que ha atès l’intent.

Si els dos transports arriben de manera demostrable al mateix servidor i encara es comporten diferent, la diferència restant són els oients i la configuració propis d’aquell servidor. La comparació de transports només té sentit un cop fixada la identitat del punt final.