Γιατί ένας πόρος VPN λειτουργεί και ένας άλλος λήγει σε χρονικό όριο

Μια ιδιωτική υπηρεσία φορτώνει μέσα από το τούνελ και η επόμενη λήγει σε χρονικό όριο, και ο πειρασμός είναι να ξαναχτιστεί ολόκληρο το προφίλ του πελάτη. Η λειτουργική υπηρεσία είναι πιο χρήσιμη ως έλεγχος παρά ως λόγος να ξεκινήσεις από την αρχή. Αποδεικνύει ότι ένας προορισμός, μία θύρα και μία διαδρομή εξουσιοδότησης ικανοποιήθηκαν, και τίποτα πέρα από αυτό.

Δύο υπηρεσίες στην ίδια πύλη μπορούν να προσεγγιστούν μέσω διαφορετικών οικογενειών διευθύνσεων, διαφορετικών υποδικτύων και διαφορετικής πολιτικής.

Διαχωρίστε τη λειτουργική ροή από την αποτυγχάνουσα

Αντιμετωπίστε κάθε υπηρεσία ως δική της ροή και όχι ως σύμπτωμα του VPN. Ένας ενδεικτικός πελάτης μπορεί να ανοίξει portal.corp.example στη 172.20.4.15:443 και παρόλα αυτά να μην φτάσει σε μια βάση δεδομένων στη 172.20.9.40:5432, γιατί αυτοί είναι δύο προορισμοί με δύο σύνολα κανόνων. Καταγράψτε και τις δύο γραμμές πριν αλλάξετε οτιδήποτε, μαζί με τη θύρα και το πρωτόκολλο, γιατί ένας κανόνας που επιτρέπει TCP 443 σε έναν κεντρικό υπολογιστή δεν λέει τίποτα για TCP 5432 στον ίδιο υπολογιστή.

Η αποτυγχάνουσα γραμμή είναι αυτή που πρέπει να διερευνηθεί. Η λειτουργική γραμμή λέει μόνο πού βρίσκεται η βάση αναφοράς, και θα είναι το σημείο σύγκρισης μετά από κάθε αλλαγή.

Συγκρίνετε διευθύνσεις πριν συγκρίνετε ονόματα

Επιλύστε κάθε πλήρες όνομα μέσω της πολιτικής που χρησιμοποιεί πραγματικά η εφαρμογή και μετά καταγράψτε την οικογένεια διευθύνσεων που επέλεξε. Ένα όνομα μπορεί να επιστρέψει διεύθυνση IPv6 ενώ ένα άλλο επιστρέφει IPv4, και μια παλιά αποθηκευμένη απάντηση μπορεί να στείλει ένα αίτημα σε δημόσια διεύθυνση που δεν έχει καμία σχέση με την ιδιωτική υπηρεσία.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Η αναζήτηση απαντά σε ένα στενό ερώτημα: ποια διαδρομή θα επέλεγε αυτός ο υπολογιστής για εκείνον τον προορισμό, με τους τρέχοντες πίνακες και τους κανόνες πολιτικής. Μια διαδρομή για το 172.20.4.0/24 δεν καλύπτει το 172.20.9.0/24, και ένας δεύτερος διαχειριστής δικτύου ή μια τοπική διαδρομή με καλύτερη εξειδίκευση μπορεί να παρακάμψει ήσυχα το τούνελ. Επαναλάβετε την αναζήτηση μέσα στον χώρο ονομάτων ή με το σημάδι που χρησιμοποιεί η εφαρμογή όταν αυτά διαφέρουν από το κέλυφός σας. Καταγράψτε και τη διεπαφή από την οποία φεύγει το πακέτο, γιατί ο πίνακας διαδρομών μπορεί να ονομάζει μία διεπαφή ενώ η δρομολόγηση βάσει πολιτικής στέλνει τη ροή από άλλη.

Μια διαδρομή που ταιριάζει είναι αναγκαία συνθήκη, όχι άδεια. Λέει ότι το πακέτο έχει πού να πάει και τίποτα για το αν ένα τείχος προστασίας, μια υπηρεσία εξουσιοδότησης ή ο ίδιος ο υπολογιστής θα το δεχτεί.

Το πρωτόκολλο και το στάδιο απόκρισης λένε πού σταματά

Μια απάντηση ping δεν αποδεικνύει ότι μια θύρα βάσης δεδομένων είναι ανοιχτή, και μια επιτυχημένη σελίδα HTTPS δεν εξουσιοδοτεί κοινή χρήση αρχείων στο ίδιο μηχάνημα. Καταγράψτε τι επέστρεψε πραγματικά αντί να ισοπεδώσετε κάθε αποτυχία σε μία κατηγορία. Ένα χρονικό όριο, ένα reset, ένα σφάλμα ταυτότητας TLS και μια απόρριψη σε επίπεδο εφαρμογής δείχνουν το καθένα σε διαφορετικό επίπεδο.

Η διάκριση έχει σημασία γιατί οι διορθώσεις αποκλίνουν. Η σιωπή συνήθως σημαίνει πρόβλημα διαδρομής, τείχους προστασίας ή μετάφρασης στη διαδρομή. Ένα άμεσο reset υποδηλώνει ότι κάτι έφτασε στον υπολογιστή και απέρριψε τη θύρα. Ένα σφάλμα πιστοποιητικού σημαίνει ότι η σύνδεση έφτασε και το όνομα δεν ταίριαξε, που είναι πρόβλημα διαμόρφωσης και όχι προσβασιμότητας. Μια απόρριψη εφαρμογής σημαίνει ότι το δίκτυο έκανε τη δουλειά του και η ταυτότητα απορρίφθηκε μετά.

Όταν ένας πόρος δημοσιεύεται μέσω πύλης, συγκρίνετε τη διεύθυνση προέλευσης που βλέπει ο προορισμός με την προέλευση που ο πελάτης σας νομίζει ότι χρησιμοποιεί. Ένα αίτημα που ξεκινά από την ίδια την πύλη μπορεί να πετύχει ενώ το ίδιο αίτημα από πελάτη αποτυγχάνει, γιατί τα δύο φτάνουν από διαφορετικές διευθύνσεις και συναντούν διαφορετικούς κανόνες.

Αλλάξτε μία μεταβλητή και εκτελέστε ξανά και τα δύο αιτήματα

Η ταυτότητα είναι το τελευταίο μέρος που κοιτούν οι άνθρωποι και το πρώτο όπου εμφανίζεται μια σωστή απόρριψη. Η σύνδεση VPN, η ομάδα καταλόγου και ο λογαριασμός εφαρμογής είναι τρεις ξεχωριστές ταυτότητες που μπορούν να αποκλίνουν. Η πρόσβαση σε μια πύλη δεν συνεπάγεται ποτέ πρόσβαση στη βάση δεδομένων πίσω από αυτήν, και ένα όνομα σε έναν κατάλογο δεν δημιουργεί γραμμή σε άλλον. Αν η υπηρεσία βρίσκεται έξω από το προβλεπόμενο πεδίο του χρήστη, η απόρριψη είναι το σύστημα που λειτουργεί.

Ζητήστε από τον ιδιοκτήτη του πόρου να επιβεβαιώσει το προβλεπόμενο δικαίωμα αντί να προσθέσετε μια ευρεία διαδρομή ή να ανοίξετε μια ομάδα ως δοκιμή. Το να διευρύνετε το δίκτυο για να αποδείξετε ένα σημείο είναι ο τρόπος με τον οποίο μια προσωρινή διαγνωστική γίνεται μόνιμη έκθεση, και καταστρέφει τον έλεγχο με τον οποίο ξεκινήσατε. Μια αποδεδειγμένη αναντιστοιχία ανά επανάληψη αρκεί: μια διαδρομή που λείπει, μια λανθασμένη οικογένεια διευθύνσεων, μια φραγμένη θύρα ή μια συμμετοχή σε ομάδα που λείπει.

Μετά από κάθε αλλαγή, επαναλάβετε και τα δύο αιτήματα και κρατήστε τις εξόδους δίπλα δίπλα. Η έρευνα τελειώνει όταν η αποτυγχάνουσα υπηρεσία λειτουργεί υπό τη δική της πολιτική, ενώ η λειτουργική υπηρεσία και οι απορρίψεις που ακόμη περιμένετε συμπεριφέρονται ακριβώς όπως πριν.