Git 403 VPN-iga ühendatud: leidke vastaja
403 on vastus, mitte otsus VPN-i kohta. Tehke kindlaks, milline komponent keeldus, seejärel võrrelge võrkude vahel ühte muutujat korraga ja kirjutage üles, mis muutus.
Kontori Wi-Fi-ga töötab ja telefoni hotspotiga ei tööta, VPN on mõlemal juhul ühendatud. Git tagastab 403 ja viga on kolm rida pikk. Kiusatus on pidada hotspoti põhjuseks ja muuta võrguseadeid, kuni midagi liigub. HTTP 403 tähendab, et server sai päringust aru ja keeldus sellest, seega kasulik küsimus on milline server, ja kasulik järgmine samm on võrdlus, mis muudab korraga ühte asja.
Lugege olek enne võrku
403 ei ole ebaõnnestunud otsing, TCP aegumine ega lõpetamata jäänud TLS käepigistus. See on otsus, mille tegi miski, mis teie päringu läbi luges.
Kuni te ei tea, mis selle otsuse tegi, on iga võrgumuudatus, mida proovite, oletus usutava looga.
Kes saab vastata 403-ga?
Hoidla rakendus on vaid üks kandidaat. Puhverserver, lüüs või filtreerimisteenus võib selle ees istuda ja vastata esimesena, ning klient näeb mõlemal juhul sama olekut. Salvestage olek, asjakohased päised ja puhastatud veakeha, seejärel seostage need volitatud teenuse logidega. Kaug-URL ja tegelikult saavutatud lõpp-punkt võivad DNS-i või puhverserveri seadistuse tõttu samuti erineda, seega kontrollige seadistatud aadressi ja päringu tegevat protsessi.
Kui keeldumine ei jõudnud kunagi hoidlani, jäävad selle logid vaikseks, ja see vaikus on tõend.
Võrrelge ühte muutujat korraga
Hotspoti võrdlus on kasulik, sest see kitsendab probleemi, mitte sellepärast, et see põhjust tõestaks. Kaks võrku võivad samal hetkel erineda aadressimises, IP perekonnas, puhverserveris, TLS läbirääkimises ja väljundpoliitikas.
Muutke katse kohta ühte asja ja kirjutage ülejäänu üles. Allolev tabel on miinimum, mida ma seda tehes märkmikus hoian:
| Keep constant | Record when it changes |
|---|---|
| Repository, operation and credentials | Resolved address and IP family |
| Git process and configuration | Proxy use and the responding component |
| Intended VPN profile | Actual route and exit seen by the service |
Üks rida, mis erineb töötava ja ebaõnnestuva jooksu vahel, on koht, kuhu läheb järgmine tund.
Möödaminek on tõend, mitte seletus
Teise aadressiperekonna pealesurumine võib muuta sihtkohta, marsruuti või vahendajat, mis valitakse, seega võib see tulemust muuta, tõestamata, et IPv6 on hoidlaga ühildumatu. Teistsugune kokku lepitud TLS-i versioon on samasse kategooriasse kuuluv tähelepanek. Kumbki ei õigusta sertifikaadikontrollide väljalülitamist ega ühenduse nõrgestamist. Järgige keelduva komponendi poliitikat ja logisid kuni tegeliku otsuseni, selle asemel et peatuda esimese muudatuse juures, mis töötab.
Möödaminek, mida te seletada ei oska, ebaõnnestub mujal uuesti.
Kirjutage aruanne, mis parandatakse
Andke vastanud komponendi omanikule sama toiming, kaks teed ja komponent, mis ütles ei. Enne millegi jagamist eemaldage autoriseerimispäised, manustatud mandaadid ja hoidla privaatsed üksikasjad.
Kasulik aruanne on lühike, korratav ja nimetab kihti, mitte sümptomit.
Kontroll, mida ma järjest teen
Kinnitage kaug-URL ja lahendatud lõpp-punkt, seejärel talletage olek ja päised ebaõnnestuvast jooksust. Korrake sama toimingut teises võrgus ja võrrelge kahte kirjet.
Seejärel viige see erinevus komponendini, mis vastas:
- Puhverserveri seadistus kliendis ja võrgus.
- Väljundpoliitika või filtreerimine hoidla ees.
- Lubatud märgi või konto ulatus, sealhulgas aegumine ja SSO tingimused.
- Hoidla luba identiteedile, mida märk esindab.
Oleku semantika ise on RFC 9110-s, ja seda tasub aruannet kirjutades tsiteerida.