Miks üks VPN-i ressurss töötab ja teine jookseb ajapiirini

Üks privaatteenus laaditakse tunnelist ja järgmine jookseb ajapiirini, ning kiusatus on kogu kliendiprofiil uuesti üles ehitada. Töötav teenus on kasulikum kontrollina kui põhjusena otsast alustada. See tõestab, et üks sihtkoht, üks port ja üks volitusrada olid täidetud, ja ei midagi enamat.

Sama lüüsi kaht teenust saab kätte erinevate aadressiperekondade, erinevate alamvõrkude ja erineva poliitika kaudu.

Eraldage töötav voog nurjunust

Käsitlege iga teenust omaenda voona, mitte VPN-i sümptomina. Näitlik klient võib avada portal.corp.example aadressil 172.20.4.15:443 ja ikkagi mitte jõuda andmebaasini aadressil 172.20.9.40:5432, sest need on kaks sihtkohta kahe reeglistikuga. Kirjutage mõlemad read üles enne, kui midagi muudate, kaasa arvatud port ja protokoll, sest reegel, mis lubab TCP 443 hostis, ei ütle midagi TCP 5432 kohta samas hostis.

Uurida tuleb just nurjunud rida. Töötav rida ütleb ainult, kus asub baasjoon, ja see on võrdluspunkt pärast iga muudatust.

Võrrelge aadresse enne, kui võrdlete nimesid

Lahendage iga täisnimi poliitika abil, mida rakendus tegelikult kasutab, ja kirjutage seejärel üles valitud aadressiperekond. Üks nimi võib tagastada IPv6-aadressi, teine aga IPv4, ja vana vahemällu salvestatud vastus võib saata päringu avalikku aadressi, millel pole privaatteenusega mingit seost.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Otsing vastab kitsale küsimusele: millise marsruudi valiks see host sellele sihtkohale praeguste tabelite ja poliitikareeglite juures. Marsruut 172.20.4.0/24 jaoks ei kata 172.20.9.0/24, ja teine võrguhaldur või parema täpsusega kohalik marsruut võib tunneli vaikselt üle kirjutada. Korrake otsingut nimeruumi sees või märgisega, mida rakendus kasutab, kui need erinevad teie kestast. Kirjutage üles ka liides, mille kaudu pakett väljub, sest marsruutitabel võib nimetada üht liidest, samal ajal kui poliitikapõhine marsruutimine saadab voo välja teise kaudu.

Sobiv marsruut on vajalik tingimus, mitte luba. See ütleb, et paketil on kuhu minna, ja mitte midagi selle kohta, kas tulemüür, volitusteenus või host ise selle vastu võtab.

Protokoll ja vastuse etapp ütlevad, kus see peatub

Pingi vastus ei tõesta, et andmebaasi port on avatud, ja edukas HTTPS-leht ei volita failijagamist samas masinas. Kirjutage üles, mis tegelikult tagasi tuli, selle asemel et iga nurjumine ühte kategooriasse siluda. Ajapiir, reset, TLS-i identiteediviga ja rakendustasandi keeldumine osutavad igaüks erinevale kihile.

Vahe on oluline, sest parandused lahknevad. Vaikus tähendab tavaliselt marsruudi-, tulemüüri- või tõlkeprobleemi teel. Kohene reset viitab sellele, et miski jõudis hostini ja keeldus porti. Sertifikaadiviga tähendab, et ühendus jõudis kohale ja nimi ei sobinud, mis on konfiguratsiooniprobleem, mitte kättesaadavusprobleem. Rakenduse keeldumine tähendab, et võrk tegi oma töö ja identiteet lükati hiljem tagasi.

Kui ressurss avaldatakse lüüsi kaudu, võrrelge lähteaadressi, mida sihtkoht näeb, selle lähtega, mida teie klient arvab end kasutavat. Lüüsist endast alguse saanud päring võib õnnestuda, samal ajal kui sama päring kliendilt ebaõnnestub, sest need kaks tulevad erinevatelt aadressidelt ja kohtavad erinevaid reegleid.

Muutke üht muutujat ja käivitage mõlemad päringud uuesti

Identiteet on viimane koht, kuhu inimesed vaatavad, ja esimene, kus ilmub õige keeldumine. VPN-i sisselogimine, kataloogigrupp ja rakendusekonto on kolm eraldi identiteeti, mis võivad lahkneda. Portaali juurdepääs ei tähenda kunagi juurdepääsu selle taga olevale andmebaasile, ja nimi ühes kataloogis ei loo rida teises. Kui teenus asub kasutaja kavandatud ulatusest väljas, on keeldumine süsteem, mis töötab.

Paluge ressursi omanikul kinnitada kavandatud õigus, selle asemel et lisada lai marsruut või avada grupp testiks. Võrgu laiendamine punkti tõestamiseks on viis, kuidas ajutine diagnostika muutub püsivaks paljastuseks, ja see hävitab kontrolli, millega alustasite. Üks tõestatud lahknevus iteratsiooni kohta on piisav: puuduv marsruut, vale aadressiperekond, blokeeritud port või puuduv grupiliikmelisus.

Pärast iga muudatust korrake mõlemat päringut ja hoidke väljundid kõrvuti. Uurimine lõpeb, kui nurjunud teenus töötab oma poliitika alusel, samal ajal kui töötav teenus ja keeldumised, mida te veel ootate, käituvad täpselt nagu enne.