Pam mae un adnodd VPN yn gweithio ac un arall yn amseru allan

Mae un gwasanaeth preifat yn llwytho drwy'r twnnel a'r nesaf yn amseru allan, a'r demtasiwn yw ailadeiladu proffil y cleient i gyd. Mae'r gwasanaeth sy'n gweithio yn fwy defnyddiol fel rheolaeth nag fel rheswm i ddechrau eto. Mae'n profi bod un cyrchfan, un porth ac un llwybr awdurdodi wedi'u bodloni, a dim byd y tu hwnt i hynny.

Gellir cyrraedd dau wasanaeth ar yr un porth clwyd drwy deuluoedd cyfeiriadau gwahanol, is-rwydweithiau gwahanol a pholisi gwahanol.

Gwahanwch y llif sy'n gweithio oddi wrth yr un sy'n methu

Triniwch bob gwasanaeth fel ei lif ei hun yn hytrach nag fel symptom o'r rhwydwaith preifat. Gall cleient enghreifftiol agor portal.corp.example yn 172.20.4.15:443 ac eto fethu â chyrraedd cronfa ddata yn 172.20.9.40:5432, oherwydd dau gyrchfan â dwy set o reolau ydyn nhw. Ysgrifennwch y ddwy res cyn newid unrhyw beth, gan gynnwys y porth a'r protocol, oherwydd nid yw rheol sy'n caniatáu TCP 443 ar westeiwr yn dweud dim am TCP 5432 ar yr un westeiwr.

Y rhes sy'n methu yw'r un i'w hymchwilio. Dim ond dweud ble mae'r llinell sylfaen y mae'r rhes sy'n gweithio, a hi fydd y pwynt cymharu ar ôl pob newid a wnewch.

Cymharwch gyfeiriadau cyn cymharu enwau

Datryswch bob enw llawn drwy'r polisi y mae'r rhaglen yn ei ddefnyddio mewn gwirionedd, yna cofnodwch y teulu cyfeiriadau a ddewisodd. Gall un enw ddychwelyd cyfeiriad IPv6 tra bo un arall yn dychwelyd IPv4, a gall ateb hŷn sydd wedi'i storio anfon cais i gyfeiriad cyhoeddus nad oes ganddo ddim i'w wneud â'r gwasanaeth preifat.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Mae'r chwiliad yn ateb cwestiwn cul: pa lwybr y byddai'r westeiwr hwn yn ei ddewis ar gyfer y gyrchfan honno, o ystyried y tablau a'r rheolau polisi presennol. Nid yw llwybr ar gyfer 172.20.4.0/24 yn cynnwys 172.20.9.0/24, a gall ail reolwr rhwydwaith neu lwybr lleol â manylder gwell ddiystyru'r twnnel yn dawel. Ailadroddwch y chwiliad y tu mewn i'r gofod enwau neu gyda'r marc y mae'r rhaglen yn ei ddefnyddio pan fydd y rheini'n wahanol i'ch powlen. Cofnodwch y rhyngwyneb y mae'r pecyn yn gadael drwyddo hefyd, oherwydd gall y tabl llwybrau enwi un rhyngwyneb tra bo llwybro polisi yn anfon y llif allan drwy un arall.

Mae llwybr sy'n cyfateb yn amod angenrheidiol, nid yn ganiatâd. Mae'n dweud bod gan y pecyn rywle i fynd a dim am ba un a fydd wal dân, gwasanaeth awdurdodi neu'r westeiwr ei hun yn ei dderbyn.

Mae protocol a cham yr ymateb yn dweud ble mae'n stopio

Nid yw ateb ping yn profi bod porth cronfa ddata ar agor, ac nid yw tudalen HTTPS lwyddiannus yn awdurdodi rhannu ffeiliau ar yr un peiriant. Cofnodwch beth a ddaeth yn ôl mewn gwirionedd yn hytrach na gwastatáu pob methiant i un categori. Mae amseru allan, ailosod, gwall hunaniaeth TLS a gwrthodiad ar lefel rhaglen pob un yn pwyntio at haen wahanol.

Mae'r gwahaniaeth yn bwysig oherwydd bod y cywiriadau'n dargyfeirio. Mae distawrwydd fel arfer yn golygu problem llwybr, wal dân neu gyfieithu ar y llwybr. Mae ailosod ar unwaith yn awgrymu bod rhywbeth wedi cyrraedd y westeiwr ac wedi gwrthod y porth. Mae gwall tystysgrif yn golygu bod y cysylltiad wedi cyrraedd ac nad oedd yr enw'n cyfateb, sef problem cyfluniad yn hytrach na phroblem cyrraedd. Mae gwrthodiad rhaglen yn golygu bod y rhwydwaith wedi gwneud ei waith a bod y humaniaeth wedi'i gwrthod wedyn.

Pan fydd adnodd yn cael ei gyhoeddi drwy borth clwyd, cymharwch y cyfeiriad ffynhonnell y mae'r gyrchfan yn ei weld â'r ffynhonnell y mae eich cleient yn credu ei fod yn ei defnyddio. Gall cais a ddechreuwyd gan y porth clwyd ei hun lwyddo tra bo'r un cais o gleient yn methu, oherwydd bod y ddau'n dod o gyfeiriadau gwahanol ac yn cyfarfod rheolau gwahanol.

Newidiwch un newidyn ac ail-redegwch y ddau gais

Humaniaeth yw'r lle olaf y mae pobl yn edrych a'r lle cyntaf y mae gwrthodiad cywir yn ymddangos. Mae mewngofnodi VPN, grŵp y cyfeiriadur a chyfrif y rhaglen yn dair humaniaeth ar wahân a all ddargyfeirio. Nid yw mynediad i borth yn awgrymu mynediad i'r gronfa ddata y tu ôl iddo, ac nid yw enw mewn un cyfeiriadur yn creu rhes mewn un arall. Os yw'r gwasanaeth y tu allan i gwmpas arfaethedig y defnyddiwr, y gwrthodiad yw'r system yn gweithio.

Gofynnwch i berchennog yr adnodd gadarnhau'r hawl arfaethedig yn hytrach nag ychwanegu llwybr eang neu agor grŵp fel prawf. Ehangu'r rhwydwaith i brofi pwynt yw'r ffordd y mae diagnosteg dros dro yn dod yn amlygiad parhaol, ac mae'n dinistrio'r rheolaeth y gwnaethoch ddechrau â hi. Mae un anghysondeb a ddangoswyd fesul iteriad yn ddigon: llwybr ar goll, teulu cyfeiriadau anghywir, porth wedi'i rwystro neu aelodaeth grŵp ar goll.

Ar ôl pob newid, ailadroddwch y ddau gais a chadwch y canlyniadau ochr yn ochr. Mae'r ymchwiliad yn gorffen pan fydd y gwasanaeth sy'n methu yn gweithio o dan ei bolisi ei hun tra bo'r gwasanaeth sy'n gweithio a'r gwrthodiadau yr ydych yn dal i'w disgwyl yn ymddwyn yn union fel o'r blaen.