Kial unu VPN-rimedo funkcias kaj alia trafas tempolimon

Unu privata servo ŝarĝiĝas tra la tunelo kaj la sekva trafas tempolimon, kaj la tento estas rekonstrui la tutan klientan profilon. La funkcianta servo pli utilas kiel kontrolo ol kiel kialo rekomenci de nulo. Ĝi pruvas, ke unu celo, unu pordo kaj unu rajtiga vojo estis plenumitaj, kaj nenio pli.

Du servoj sur la sama enirejo atingeblas per malsamaj adresaj familioj, malsamaj subretoj kaj malsama politiko.

Apartigu la funkciantan fluon de la malsukcesa

Traktu ĉiun servon kiel sian propran fluon, ne kiel simptomon de la VPN. Ilustra kliento povas malfermi portal.corp.example ĉe 172.20.4.15:443 kaj tamen malsukcesi atingi datumbazon ĉe 172.20.9.40:5432, ĉar tiuj estas du celoj kun du regulaj aroj. Notu ambaŭ vicojn antaŭ ol ŝanĝi ion ajn, inkluzive de la pordo kaj la protokolo, ĉar regulo, kiu permesas TCP 443 sur gastiganto, diras nenion pri TCP 5432 sur la sama gastiganto.

La malsukcesa vico estas tiu, kiun oni devos esplori. La funkcianta vico nur diras, kie situas la bazlinio, kaj ĝi estos la kompara punkto post ĉiu ŝanĝo.

Komparu adresojn antaŭ ol kompari nomojn

Solvu ĉiun plenan nomon per la politiko, kiun la aplikaĵo efektive uzas, poste notu la adresan familion, kiun ĝi elektis. Unu nomo povas redoni IPv6-adreson dum alia redonas IPv4, kaj malnova kaŝmemora respondo povas sendi peton al publika adreso, kiu havas nenion komunan kun la privata servo.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

La serĉo respondas mallarĝan demandon: kiun vojon ĉi tiu gastiganto elektus por tiu celo, laŭ la nunaj tabeloj kaj politikaj reguloj. Vojo por 172.20.4.0/24 ne kovras 172.20.9.0/24, kaj dua reta administrilo aŭ loka vojo kun pli bona specifeco povas silente superregi la tunelon. Ripetu la serĉon ene de la nomspaco aŭ kun la marko, kiun la aplikaĵo uzas, kiam tiuj diferencas de via ŝelo. Notu ankaŭ la interfacon, per kiu la paketo eliras, ĉar la voja tabelo povas nomi unu interfacon dum politika enkursigado sendas la fluon per alia.

Vojo, kiu kongruas, estas necesa kondiĉo, ne permeso. Ĝi diras, ke la paketo havas kien iri, kaj nenion pri tio, ĉu fajroŝirmilo, rajtiga servo aŭ la gastiganto mem akceptos ĝin.

Protokolo kaj responda etapo diras, kie ĝi haltas

Respondo al ping ne pruvas, ke datumbaza pordo estas malfermita, kaj sukcesa HTTPS-paĝo ne rajtigas dosierkunhavigon sur la sama maŝino. Notu, kio efektive revenis, anstataŭ ebenigi ĉiun malsukceson en unu kategorion. Tempolimo, restarigo, TLS-identeca eraro kaj malakcepto je aplikaĵa nivelo ĉiu montras al malsama tavolo.

La distingo gravas, ĉar la korektoj diverĝas. Silento kutime signifas voj-, fajroŝirmil- aŭ tradukan problemon sur la vojo. Tuja restarigo sugestas, ke io atingis la gastiganton kaj rifuzis la pordon. Atestila eraro signifas, ke la konekto alvenis kaj la nomo ne kongruis, kio estas agorda problemo, ne atingebla problemo. Aplikaĵa malakcepto signifas, ke la reto faris sian taskon kaj la identeco estis malakceptita poste.

Kiam rimedo estas publikigita tra enirejo, komparu la fontan adreson, kiun vidas la celo, kun la fonto, kiun via kliento kredas, ke ĝi uzas. Peto originita de la enirejo mem povas sukcesi dum la sama peto de kliento malsukcesas, ĉar la du alvenas de malsamaj adresoj kaj renkontas malsamajn regulojn.

Ŝanĝu unu variablon kaj rerulu ambaŭ petojn

Identeco estas la lasta loko, kiun homoj rigardas, kaj la unua, kie aperas ĝusta malakcepto. La VPN-ensaluto, la dosieruja grupo kaj la aplikaĵa konto estas tri apartaj identecoj, kiuj povas diverĝi. Aliro al portalo neniam implicas aliron al la datumbazo malantaŭ ĝi, kaj nomo en unu dosierujo ne kreas vicon en alia. Se la servo staras ekster la celita amplekso de la uzanto, la malakcepto estas la sistemo funkcianta.

Petu la rimedposedanton konfirmi la celitan rajton anstataŭ aldoni larĝan vojon aŭ malfermi grupon kiel teston. Etendi la reton por pruvi punkton estas la maniero, kiel provizora diagnozo fariĝas permanenta elmeto, kaj ĝi detruas la kontrolon, per kiu vi komencis. Unu pruvita miskongruo po ripeto sufiĉas: mankanta vojo, malĝusta adresa familio, blokita pordo aŭ mankanta grupo-membro.

Post ĉiu ŝanĝo ripetu ambaŭ petojn kaj tenu la eligojn unu apud la alia. La esplorado finiĝas, kiam la malsukcesa servo funkcias laŭ sia propra politiko, dum la funkcianta servo kaj la malakceptoj, kiujn vi ankoraŭ atendas, kondutas ĝuste kiel antaŭe.