Per què un recurs de VPN funciona i un altre es queda sense temps

Un servei privat es carrega pel túnel i el següent es queda sense temps, i la temptació és reconstruir tot el perfil del client. El servei que funciona és més útil com a control que com a motiu per començar de zero. Demostra que una destinació, un port i un camí d'autorització s'han satisfet, i res més enllà.

Es pot arribar a dos serveis a la mateixa passarel·la per famílies d'adreces diferents, subxarxes diferents i polítiques diferents.

Separeu el flux que funciona del que falla

Tracteu cada servei com el seu propi flux i no com un símptoma de la xarxa privada. Un client il·lustratiu pot obrir portal.corp.example a 172.20.4.15:443 i tot i així no arribar a una base de dades a 172.20.9.40:5432, perquè són dues destinacions amb dos conjunts de regles. Anoteu les dues files abans de canviar res, incloent-hi el port i el protocol, perquè una regla que permet TCP 443 en un amfitrió no diu res sobre TCP 5432 al mateix amfitrió.

La fila que falla és la que cal investigar. La fila que funciona només us diu on és la línia base, i serà el punt de comparació després de cada canvi.

Compareu adreces abans de comparar noms

Resoleu cada nom complet amb la política que l'aplicació fa servir realment i després anoteu la família d'adreces que ha triat. Un nom pot retornar una adreça IPv6 mentre un altre retorna IPv4, i una resposta antiga en memòria cau pot enviar una petició a una adreça pública que no té res a veure amb el servei privat.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

La consulta respon una pregunta estreta: quina ruta triaria aquest amfitrió per a aquesta destinació, amb les taules i les regles de política actuals. Una ruta per a 172.20.4.0/24 no cobreix 172.20.9.0/24, i un segon gestor de xarxa o una ruta local amb més especificitat poden substituir el túnel en silenci. Repetiu la consulta dins de l'espai de noms o amb la marca que fa servir l'aplicació quan aquestes difereixen de la vostra consola. Anoteu també la interfície per la qual surt el paquet, perquè la taula de rutes pot nomenar una interfície mentre l'encaminament per política envia el flux per una altra.

Una ruta que coincideix és una condició necessària, no un permís. Us diu que el paquet té on anar i res sobre si un tallafoc, un servei d'autorització o l'amfitrió mateix l'acceptarà.

El protocol i l'etapa de resposta diuen on s'atura

Una resposta de ping no demostra que un port de base de dades estigui obert, i una pàgina HTTPS correcta no autoritza un recurs compartit a la mateixa màquina. Anoteu què ha tornat realment en lloc d'aplanar cada fallada en una sola categoria. Un temps d'espera, un reinici, un error d'identitat TLS i un rebuig a nivell d'aplicació apunten cadascun a una capa diferent.

La distinció importa perquè les correccions divergeixen. El silenci normalment vol dir un problema de ruta, de tallafoc o de traducció al camí. Un reinici immediat suggereix que alguna cosa ha arribat a l'amfitrió i ha refusat el port. Un error de certificat vol dir que la connexió ha arribat i el nom no coincidia, cosa que és un problema de configuració i no d'abastabilitat. Un rebuig de l'aplicació vol dir que la xarxa ha fet la seva feina i la identitat s'ha rebutjat després.

Quan un recurs es publica a través d'una passarel·la, compareu l'adreça d'origen que veu la destinació amb l'origen que el vostre client creu que fa servir. Una petició originada per la mateixa passarel·la pot tenir èxit mentre la mateixa petició des d'un client falla, perquè les dues arriben d'adreces diferents i troben regles diferents.

Canvieu una variable i torneu a executar les dues peticions

La identitat és l'últim lloc on la gent mira i el primer on apareix un rebuig correcte. L'inici de sessió de la VPN, el grup del directori i el compte de l'aplicació són tres identitats separades que poden divergir. L'accés a un portal mai no implica accés a la base de dades que hi ha darrere, i un nom en un directori no crea una fila en un altre. Si el servei queda fora de l'abast previst de l'usuari, el rebuig és el sistema funcionant.

Demaneu al propietari del recurs que confirmi el dret previst en lloc d'afegir una ruta àmplia o obrir un grup com a prova. Ampliar la xarxa per demostrar un punt és com un diagnòstic temporal es converteix en una exposició permanent, i destrueix el control amb què vau començar. Una discrepància demostrada per iteració és suficient: una ruta que falta, una família d'adreces equivocada, un port bloquejat o una pertinença a grup que falta.

Després de cada canvi, repetiu les dues peticions i manteniu les sortides costat per costat. La investigació acaba quan el servei que fallava funciona sota la seva pròpia política mentre el servei que funciona i els rebuigs que encara espereu es comporten exactament com abans.