Το TCP λειτουργεί και το UDP φτάνει σε άλλο διακομιστή στην ίδια θύρα

Ένα προφίλ λειτουργεί μέσω TCP και αποτυγχάνει μέσω UDP με προειδοποίηση πιστοποιητικού. Η διαισθητική ανάγνωση είναι ότι η διαδρομή UDP έσπασε την εμπιστοσύνη, και η διαισθητική διόρθωση είναι να δεχτείτε το πιστοποιητικό. Και οι δύο υποθέσεις παραλείπουν μια πιθανότητα που εξηγεί πλήρως το σύμπτωμα: οι δύο μεταφορές έφτασαν σε διαφορετικές μηχανές. Ένας κανόνας προώθησης αντιστοιχίζεται ανά πρωτόκολλο, και τίποτα δεν αναγκάζει τα μισά TCP και UDP ενός αριθμού θύρας να δείχνουν στον ίδιο υπολογιστή.

Ένας αριθμός θύρας, δύο ανεξάρτητοι κανόνες

Η προώθηση είναι αναζήτηση σε πίνακα με βάση το πρωτόκολλο, τη διεύθυνση προορισμού και τη θύρα. Μια πύλη με κανόνα για TCP 1194 και κανόνα για UDP 1194 εκφράζει δύο ανεξάρτητες αποφάσεις, και αυτές μπορούν να ονομάζουν διαφορετικούς εσωτερικούς υπολογιστές. Ο κοινός αριθμός είναι ευκολία για τους ανθρώπους, όχι ιδιότητα που επιβάλλει το δίκτυο. Αντιμετωπίστε τον αριθμό θύρας ως ετικέτα και όχι ως ορισμό υπηρεσίας.

Κοιτάξτε τους ισχύοντες κανόνες και όχι τους επιδιωκόμενους. Η διεύθυνση προορισμού, η μεταφρασμένη θύρα και η διεπαφή εισόδου συμμετέχουν όλες, και ένας κανόνας που έμεινε από παλαιότερη μετεγκατάσταση είναι η συνήθης αιτία που τα δύο μισά διαφωνούν.

Καταγράψτε και τις δύο αντιστοιχίσεις πριν αλλάξετε οτιδήποτε άλλο. Το ζεύγος γραμμών είναι ολόκληρη η υπόθεση.

Τι επαλήθευσε πραγματικά ο πελάτης

Κατά τη χειραψία ο πελάτης ελέγχει το πιστοποιητικό ως προς τη ρυθμισμένη εμπιστοσύνη και ως προς το όνομα που περιμένει. Ένα απρόσμενο πιστοποιητικό είναι επιτυχής επαλήθευση που απέτυχε στον έλεγχο ταυτότητας, και αυτό είναι το σωστό αποτέλεσμα όταν ο συνομιλητής δεν είναι εκείνος που θέλατε να φτάσετε. Η απόρριψή του είναι απόδειξη ότι ο πελάτης λειτουργεί, όχι ότι η μεταφορά είναι χαλασμένη. Διαβάστε το αναφερόμενο όνομα πριν από την αναφερόμενη αλυσίδα, γιατί το όνομα είναι αυτό που συνέκρινε ο πελάτης.

Η διάκριση έχει σημασία γιατί οι δύο αστοχίες οδηγούν σε διαφορετικές διορθώσεις. Ένα πρόβλημα εμπιστοσύνης χρειάζεται διόρθωση εμπιστοσύνης, ενώ ένας απρόσμενος συνομιλητής χρειάζεται διόρθωση δρομολόγησης ή προώθησης.

Σημειώστε ποια ταυτότητα ανέφερε ο πελάτης. Αυτό το όνομα είναι η ισχυρότερη ένδειξη για το ποια μηχανή απάντησε.

Συσχετίστε την απόπειρα με έναν διακομιστή

Καταγράψτε το προφίλ, τη δημόσια διεύθυνση, τη μεταφορά και τη θύρα που χρησιμοποίησε ο πελάτης. Στη συνέχεια αντιστοιχίστε την ώρα της απόπειρας με το αρχείο καταγραφής του διακομιστή που θέλατε να φτάσετε. Η απουσία εκεί είναι ένδειξη και όχι απόδειξη απόρριψης από το τείχος προστασίας, γιατί τα επίπεδα καταγραφής διαφέρουν μεταξύ αναπτύξεων. Μια χρονική σήμανση μαζί με μια διεύθυνση προέλευσης περιορίζει περισσότερο από οποιοδήποτε από τα δύο μόνο του.

Συγκρίνετε την ταυτότητα του πιστοποιητικού που συναντήσατε με την αναμενόμενη ταυτότητα μέσω διοικητικού καναλιού. Αυτή η σύγκριση εκτός καναλιού είναι που κρατά τον έλεγχο αξιόπιστο.

Ελέγξτε παλιούς κανόνες προώθησης, εναλλακτικούς ακροατές και οποιαδήποτε διαδρομή εξισορρόπησης φορτίου πριν συμπεράνετε ότι και οι δύο μεταφορές μοιράζονται ένα backend. Καθένα από αυτά μπορεί να ανακατευθύνει μια ροή χωρίς να αγγίξει την άλλη μεταφορά.

Μην προσαρμόζετε την εμπιστοσύνη σε λάθος συνομιλητή

Η εισαγωγή του απρόσμενου CA κάνει το σύμπτωμα να εξαφανιστεί και αλλάζει σε ποιον εμπιστεύεται ο πελάτης. Αυτή είναι χειρότερη κατάσταση από μια αποτυχημένη σύνδεση, γιατί κρύβει την αναντιστοιχία αντί να τη λύσει. Το ίδιο ισχύει για την απενεργοποίηση της επαλήθευσης μόνο και μόνο για να δείτε αν σηκώνεται η σήραγγα.

Αν ο συνομιλητής αποδειχθεί νόμιμος αλλά ακούσιος, η σωστή ενέργεια είναι να τον αποσύρετε ή να κατευθύνετε τον κανόνα στον σωστό υπολογιστή. Το αποθετήριο εμπιστοσύνης δεν είναι το μέρος για να συμβιβάσετε ένα λάθος απογραφής.

Κρατήστε το κείμενο της απόρριψης. Είναι η μόνη καταγραφή του τι είδε ο πελάτης.

Μετά τη διόρθωση, δοκιμάστε μια νέα ροή

Διορθώστε την αντιστοίχιση και στη συνέχεια συνδεθείτε με νέα συνεδρία πελάτη. Η μετάφραση με κατάσταση μπορεί να κρατήσει μια υπάρχουσα ροή στον παλιό προορισμό, οπότε μια εδραιωμένη σύνδεση μπορεί να επιβιώσει της αλλαγής και να σας παραπλανήσει. Ξεκινήστε μια νέα και επιβεβαιώστε από το αρχείο καταγραφής του προβλεπόμενου διακομιστή ότι χειρίστηκε την απόπειρα.

Αν και οι δύο μεταφορές αποδεδειγμένα φτάνουν στον ίδιο διακομιστή και εξακολουθούν να συμπεριφέρονται διαφορετικά, η υπόλοιπη διαφορά είναι οι δικοί του ακροατές και η διαμόρφωση αυτού του διακομιστή. Η σύγκριση των μεταφορών έχει νόημα μόνο αφού καθοριστεί η ταυτότητα του τελικού σημείου.