Proč jeden zdroj VPN funguje a jiný vyprší

Jedna soukromá služba se načte tunelem a další vyprší, a člověk má chuť přestavět celý profil klienta. Fungující služba je užitečnější jako kontrola než jako důvod začínat znovu. Dokazuje, že jedna destinace, jeden port a jedna cesta autorizace byly splněny, a nic víc.

Ke dvěma službám na stejné bráně lze dosáhnout přes různé rodiny adres, různé podsítě a různou politiku.

Oddělte fungující tok od nefunkčního

Berte každou službu jako vlastní tok, ne jako symptom VPN. Ukázkový klient může otevřít portal.corp.example na 172.20.4.15:443 a přesto nedosáhnout databáze na 172.20.9.40:5432, protože to jsou dvě destinace se dvěma sadami pravidel. Zapište oba řádky, než cokoli změníte, včetně portu a protokolu, protože pravidlo, které povoluje TCP 443 na hostiteli, neříká nic o TCP 5432 na stejném hostiteli.

Nefunkční řádek je ten, který je třeba prošetřit. Fungující řádek jen říká, kde je základní linie, a bude srovnávacím bodem po každé změně.

Porovnejte adresy dřív než jména

Vyřešte každé plné jméno podle politiky, kterou aplikace skutečně používá, a pak zaznamenejte rodinu adres, kterou zvolila. Jedno jméno může vrátit adresu IPv6, zatímco jiné IPv4, a stará uložená odpověď může poslat požadavek na veřejnou adresu, která se soukromou službou nemá nic společného.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Vyhledání odpovídá na úzkou otázku: kterou trasu by tento hostitel pro danou destinaci zvolil při současných tabulkách a pravidlech politiky. Trasa pro 172.20.4.0/24 nepokrývá 172.20.9.0/24 a druhý správce sítě nebo místní trasa s lepší specificitou může tunel tiše přebít. Vyhledání zopakujte uvnitř jmenného prostoru nebo se značkou, kterou aplikace používá, když se liší od vaší konzole. Zaznamenejte také rozhraní, kterým paket odchází, protože směrovací tabulka může jmenovat jedno rozhraní, zatímco směrování podle politiky posílá tok jiným.

Shoda trasy je nutná podmínka, ne povolení. Říká vám, že paket má kam jít, a nic o tom, zda jej firewall, autorizační služba nebo hostitel sám přijme.

Protokol a fáze odpovědi řeknou, kde se to zastaví

Odpověď na ping nedokazuje, že je port databáze otevřený, a úspěšná stránka HTTPS neautorizuje sdílení souborů na stejném stroji. Zaznamenejte, co se skutečně vrátilo, místo abyste každé selhání zploštili do jedné kategorie. Časový limit, reset, chyba identity TLS a odmítnutí na úrovni aplikace ukazují každé na jinou vrstvu.

Rozdíl je důležitý, protože opravy se rozcházejí. Ticho obvykle znamená problém s trasou, firewallem nebo překladem na cestě. Okamžitý reset naznačuje, že něco dosáhlo hostitele a port odmítlo. Chyba certifikátu znamená, že spojení dorazilo a jméno nesouhlasilo, což je problém konfigurace, ne dostupnosti. Odmítnutí aplikace znamená, že síť udělala svou práci a identita byla následně odmítnuta.

Když se zdroj publikuje přes bránu, porovnejte zdrojovou adresu, kterou vidí destinace, se zdrojem, o kterém se váš klient domnívá, že jej používá. Požadavek vzniklý přímo v bráně může uspět, zatímco stejný požadavek z klienta selže, protože oba přicházejí z různých adres a potkávají různá pravidla.

Změňte jednu proměnnou a znovu spusťte oba požadavky

Identita je poslední místo, kam se lidé dívají, a první, kde se objeví správné odmítnutí. Přihlášení k VPN, skupina v adresáři a účet aplikace jsou tři oddělené identity, které se mohou rozejít. Přístup k portálu nikdy neznamená přístup k databázi za ním a jméno v jednom adresáři nevytváří řádek v jiném. Pokud služba leží mimo zamýšlený rozsah uživatele, odmítnutí je systém, který funguje.

Požádejte vlastníka zdroje o potvrzení zamýšleného oprávnění, místo abyste přidali širokou trasu nebo otevřeli skupinu jako test. Rozšiřování sítě, aby se něco dokázalo, je způsob, jak se dočasná diagnostika stane trvalým vystavením, a ničí kontrolu, se kterou jste začali. Jedna doložená neshoda na iteraci stačí: chybějící trasa, špatná rodina adres, blokovaný port nebo chybějící členství ve skupině.

Po každé změně zopakujte oba požadavky a držte výstupy vedle sebe. Vyšetřování končí, když nefunkční služba funguje podle své vlastní politiky, zatímco fungující služba a odmítnutí, která stále očekáváte, se chovají přesně jako dřív.