TCP töötab ja UDP jõuab samal pordil teise serverini

Profiil töötab TCP kaudu ja ebaõnnestub UDP kaudu sertifikaadi hoiatuse saatel. Intuitiivne tõlgendus on, et UDP teek murdis usalduse, ja intuitiivne parandus on sertifikaat vastu võtta. Mõlemad eeldused jätavad kõrvale võimaluse, mis seletab sümptomi täielikult: kaks ülekandeteed jõudsid eri masinateni. Edasisaatmise reegel sobitatakse protokolli kaupa ja miski ei sunni ühe pordi numbri TCP ja UDP poolt osutama samale hostile.

Üks pordi number, kaks sõltumatut reeglit

Edasisaatmine on tabeliotsing, mis põhineb protokollil, sihtaadressil ja pordil. Lüüs, millel on reegel TCP 1194 jaoks ja reegel UDP 1194 jaoks, väljendab kahte sõltumatut otsust ning need võivad nimetada eri sisemisi hoste. Ühine number on inimestele mugavus, mitte omadus, mida võrk tagab. Käsitlege pordi numbrit sildina, mitte teenuse määratlusena.

Vaadake kehtivaid reegleid, mitte kavatsetud reegleid. Sihtaadress, tõlgitud port ja sissetulev liides osalevad kõik, ning varasemast migratsioonist jäänud reegel on tavaline põhjus, miks kaks poolt ei klapi.

Kirjutage mõlemad vasted üles enne, kui midagi muud muudate. Ridade paar on kogu hüpotees.

Mida klient tegelikult kontrollis

Käepigistuse ajal kontrollib klient sertifikaati seadistatud usalduse ja oodatava nime vastu. Ootamatu sertifikaat on õnnestunud kontroll, mis ebaõnnestus identiteedi võrdlemisel, ja see on õige tulemus, kui vastaspool ei ole see, kelleni jõuda tahtsite. Selle tagasilükkamine tõestab, et klient töötab, mitte seda, et ülekandetee on katki. Lugege teatatud nime enne teatatud ahelat, sest nimi on see, mida klient võrdles.

Vahe on oluline, sest kaks tõrget viivad erinevate parandusteni. Usaldusprobleem vajab usalduse parandust, samas kui ootamatu vastaspool vajab marsruutimise või edasisaatmise parandust.

Märkige üles, millise identiteedi klient teatas. See nimi on tugevaim vihje selle kohta, milline masin vastas.

Seostage katse serveriga

Kirjutage üles profiil, avalik aadress, ülekandetee ja port, mida klient kasutas. Seejärel sobitage katse aeg selle serveri logiga, kelleni jõuda tahtsite. Selle puudumine on vihje, mitte tõestus tulemüüri langetamisest, sest logimise tasemed erinevad juurutuste vahel. Ajatempel koos lähteaadressiga piirab seda rohkem kui kumbki üksi.

Võrrelge kohatud sertifikaadi identiteeti oodatava identiteediga halduskanali kaudu. Just kanaliväline võrdlus hoiab kontrolli usaldusväärsena.

Kontrollige vanu edasisaatmise reegleid, alternatiivseid kuulajaid ja kõiki koormuse jaotamise teid enne, kui järeldate, et mõlemad ülekandeteed jagavad taustteenust. Igaüks neist võib voogu ümber suunata ilma teist ülekandeteed puudutamata.

Ärge kohandage usaldust vale vastaspoolega

Ootamatu CA importimine paneb sümptomi kaduma ja muudab seda, keda klient usaldab. See on hullem seisund kui ebaõnnestunud ühendus, sest see peidab lahknevuse selle lahendamise asemel. Sama kehtib kontrolli väljalülitamise kohta ainult selleks, et näha, kas tunnel tõuseb.

Kui vastaspool osutub seaduslikuks, kuid soovimatuks, on õige tegevus see kasutusest kõrvaldada või suunata reegel õigele hostile. Usaldushoidla ei ole koht, kus inventuuri viga lepitada.

Hoidke tagasilükkamise tekst alles. See on ainus ülestähendus sellest, mida klient nägi.

Pärast parandust katsetage uut voogu

Parandage vastendus ja looge siis ühendus uue kliendiseansiga. Olekupõhine tõlge võib hoida olemasolevat voogu vanas sihtkohas, nii et loodud ühendus võib muudatuse üle elada ja teid eksitada. Alustage uut ja kinnitage kavatsetud serveri logist, et see käsitles katset.

Kui mõlemad ülekandeteed tõestatavalt jõuavad sama serverini ja käituvad siiski erinevalt, on järelejäänud erinevus selle serveri enda kuulajad ja konfiguratsioon. Ülekandeteede võrdlus tähendab midagi alles siis, kui lõpp-punkti identiteet on kindlaks tehtud.