Mae VPN safle-i-safle yn gweithio un ffordd yn unig: dwy nam gwahanol

Mae safle A yn cyrraedd B, ni all B gyrraedd A, ac mae’r twnnel yn edrych yn iawn yn y ddau gyfeiriad. Cyn cyffwrdd â’r twnnel, penderfynwch pa fethiant sydd gennych mewn gwirionedd. Mae cysylltiad newydd a ddechreuwyd yn B ac a wrthodwyd, ac ateb i gysylltiad a ddechreuwyd yn A nad yw byth yn cyrraedd, yn cynhyrchu cwynion tebyg a diagnosau hollol wahanol. Mae un yn broblem polisi neu lwybr ar y daith; mae’r llall yn broblem llwybr dychwelyd neu gyflwr ar gyfer traffig a oedd eisoes wedi’i ganiatáu.

Mae’r gwahaniaeth hwn yn penderfynu pa orchmynion sy’n werth eu rhoi ar waith.

Dau fethiant sy’n edrych yn union yr un fath

Yn yr achos cyntaf mae gwesteiwr B yn anfon SYN at A, ac nid oes dim yn dod yn ôl. Yn yr ail mae gwesteiwr A yn agor sesiwn yn llwyddiannus ac mae’r ateb yn diflannu ar y ffordd yn ôl. Mae’r ddau ddefnyddiwr yn dweud bod y cysylltiad yn un ffordd, ac mae’r ddau yn disgrifio pecyn a ddiflannodd, felly ni all y disgrifiad ei hun eu gwahanu.

Gofynnwch pa ochr a ddechreuodd yr ymgais a fethodd. Mae’r ffaith honno ar ei phen ei hun yn tynnu hanner yr achosion posibl.

Yna gwiriwch fod y prawf wedi defnyddio’r un gwesteiwyr a’r un gwasanaeth drwy’r amser. Mae ping o un ochr a chysylltiad rhannu ffeiliau o’r llall yn profi dau beth gwahanol, a gall diagnostig o’r giât ddewis cyfeiriad twnnel nad yw unrhyw draffig defnyddiwr yn ei ddefnyddio.

Achos un: mae’r llwybr dychwelyd ar goll

Gall gweinydd pell sy’n ateb ar giât diofyn wahanol dderbyn y cais a llwybro’r ateb i rywle arall. Yna mae muriau tân sy’n cadw cyflwr yn gollwng yr ateb anghymesur oherwydd nad yw’n cyfateb i lif sefydledig, sy’n edrych yn union fel cyfeiriad nad yw erioed wedi gweithio. Mae cyfieithu yn ychwanegu fersiwn arall: mae’r gyrchfan yn gweld ffynhonnell gyfieithedig ac yn ateb honno, felly nid yw rheol a ysgrifennwyd ar gyfer y cyfeiriad gwreiddiol byth yn cyfateb.

Gwiriwch y cyfeiriad y mae’r gyrchfan yn ei weld mewn gwirionedd ar ôl cyfieithu, a’r llwybr dychwelyd ar gyfer y cyfeiriad hwnnw yn hytrach nag ar gyfer yr isrwyd gwreiddiol.

Achos dau: ni chaniataodd y polisi byth

Mae’r achos arall yn symlach ac yn fwy cyffredin nag y mae’n edrych: mae un swyddfa i fod i ddefnyddio gwasanaeth canolog ac i beidio byth â dechrau cysylltiadau i’r canol. Mae’r anghymesuredd hwnnw yn benderfyniad mynediad bwriadol, ac mae’r twnnel yn gweithio fel y’i cynlluniwyd. Darllenwch y polisi mynediad cyn newid unrhyw osodiad twnnel. Y ddogfen, nid y cipiad pecynnau, sy’n nodi pa gyfeiriad a fwriadwyd. Gall cipiad ddangos yn unig beth ddigwyddodd, nid beth a awdurdodwyd.

Os oes gwir angen dechrau dwy ffordd, ychwanegwch ganiatâd y gwasanaeth penodol drwy’r set rheolau a gefnogir gan y platfform. Mae gwneud pob isrwyd yn gydymddiriedol i drwsio un cymhwysiad yn troi gofyniad cul yn ganiatâd eang, ac anaml y caiff y fasnach honno ei hadolygu wedyn.

Cymharwch cyn ac ar ôl ar yr un gwesteiwyr

Gwyliwch ddau ben yr un ymgais, nid dwy ymgais ar wahân. Cipiwch ar giât y gwesteiwr sy’n dechrau ac ar y gyrchfan, yna cymharwch beth a aeth i mewn, beth a aeth allan a pha gyfeiriad a welodd yr ochr bell.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Os yw’r cipiad yn y gyrchfan yn dangos y cais gyda chyfeiriad ffynhonnell annisgwyl, mae’r ateb yng nghyfieithu neu mewn llwybro, nid ym mholisi diogelwch y twnnel. Os nad yw’r gyrchfan yn dangos unrhyw gais o gwbl, ni chroesodd y pecyn y llwybr gwarchodedig erioed.

Ar ôl cywiriad, ailadroddwch yr un prawf o’r un gwesteiwr a chadarnhau bod mynediad heb gysylltiad yn dal i gael ei wrthod. Nid yw statws twnnel “established” yn cefnogi’r un o’r ddau gasgliad ar ei ben ei hun.