چرا یک منبع VPN کار می‌کند و دیگری به پایان مهلت می‌رسد
یک سرویس خصوصیِ کارکننده یک کنترل است، نه یک وعده. آدرس‌ها، پورت‌ها، مراحل پاسخ و هویت‌ها را مقایسه کنید تا بفهمید آن یکی چه کم دارد.
یک سرویس خصوصی از تونل بار می‌شود و سرویس بعدی به پایان مهلت می‌رسد، و وسوسه آن است که کل پروفایل کلاینت از نو ساخته شود. سرویس کارکننده به‌عنوان کنترل مفیدتر است تا دلیلی برای شروع دوباره. ثابت می‌کند که یک مقصد، یک پورت و یک مسیر مجوز برآورده شده‌اند، و نه چیزی بیشتر.
به دو سرویس روی یک دروازه می‌توان از طریق خانواده‌های آدرس متفاوت، زیرشبکه‌های متفاوت و سیاست‌های متفاوت رسید.
جریان کارکننده را از جریان ناکام جدا کنید
با هر سرویس مانند جریان خودش رفتار کنید، نه مانند نشانه‌ای از VPN. یک کلاینت نمونه می‌تواند portal.corp.example را روی 172.20.4.15:443 باز کند و باز هم به یک پایگاه داده روی 172.20.9.40:5432 نرسد، چون آن‌ها دو مقصد با دو مجموعه قاعده هستند. هر دو سطر را پیش از تغییر هر چیزی بنویسید، از جمله پورت و پروتکل، چون قاعده‌ای که TCP 443 را روی یک میزبان مجاز می‌کند، هیچ چیزی درباره TCP 5432 روی همان میزبان نمی‌گوید.
سطر ناکام همان چیزی است که باید بررسی شود. سطر کارکننده فقط می‌گوید خط پایه کجاست، و پس از هر تغییری نقطه مقایسه خواهد بود.
پیش از مقایسه نام‌ها، آدرس‌ها را مقایسه کنید
هر نام کامل را از طریق سیاستی که برنامه واقعاً استفاده می‌کند تجزیه کنید، سپس خانواده آدرسی را که انتخاب کرد ثبت کنید. یک نام می‌تواند آدرس IPv6 برگرداند و نامی دیگر IPv4، و یک پاسخ کهنه در حافظه نهان می‌تواند درخواستی را به آدرسی عمومی بفرستد که هیچ ارتباطی با سرویس خصوصی ندارد.
ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20جست‌وجو به پرسشی باریک پاسخ می‌دهد: این میزبان با جدول‌ها و قواعد سیاست فعلی کدام مسیر را برای آن مقصد انتخاب می‌کند. مسیر مربوط به 172.20.4.0/24 مسیر 172.20.9.0/24 را پوشش نمی‌دهد، و یک مدیر شبکه دوم یا یک مسیر محلی با دقت بیشتر می‌تواند بی‌صدا تونل را مغلوب کند. جست‌وجو را درون فضای نام یا با نشانه‌ای که برنامه استفاده می‌کند تکرار کنید، وقتی آن‌ها با پوسته شما تفاوت دارند. رابطی را که بسته از آن خارج می‌شود هم ثبت کنید، چون جدول مسیرها ممکن است یک رابط را نام ببرد در حالی که مسیریابی سیاستی جریان را از رابط دیگری بیرون می‌فرستد.
مسیری که مطابقت دارد شرط لازم است، نه اجازه. می‌گوید بسته جایی برای رفتن دارد و هیچ چیزی درباره اینکه دیوار آتش، سرویس مجوز یا خود میزبان آن را می‌پذیرد نمی‌گوید.
پروتکل و مرحله پاسخ می‌گویند کجا متوقف می‌شود
پاسخ ping ثابت نمی‌کند که پورت یک پایگاه داده باز است، و یک صفحه HTTPS موفق اجازه اشتراک فایل روی همان ماشین را نمی‌دهد. ثبت کنید که واقعاً چه برگشته، به‌جای اینکه هر شکست را در یک دسته تخت کنید. پایان مهلت، یک بازنشانی، خطای هویت TLS و رد در سطح برنامه هر یک به لایه‌ای متفاوت اشاره می‌کنند.
این تفاوت مهم است چون اصلاح‌ها از هم جدا می‌شوند. سکوت معمولاً یعنی مشکل مسیر، دیوار آتش یا ترجمه در مسیر. بازنشانی فوری نشان می‌دهد چیزی به میزبان رسیده و پورت را رد کرده. خطای گواهی یعنی اتصال رسیده و نام مطابقت نداشته، که مشکلی در تنظیمات است نه در دسترس‌پذیری. رد برنامه یعنی شبکه کار خود را کرده و هویت پس از آن رد شده است.
وقتی منبعی از طریق یک دروازه منتشر می‌شود، آدرس مبدأیی که مقصد می‌بیند را با مبدأیی که کلاینت شما فکر می‌کند استفاده می‌کند مقایسه کنید. درخواستی که خود دروازه آغاز کرده می‌تواند موفق شود در حالی که همان درخواست از یک کلاینت شکست می‌خورد، چون دو تا از آدرس‌های متفاوت می‌آیند و با قواعد متفاوت روبه‌رو می‌شوند.
یک متغیر را تغییر دهید و هر دو درخواست را دوباره اجرا کنید
هویت آخرین جایی است که مردم نگاه می‌کنند و نخستین جایی که یک رد درست ظاهر می‌شود. ورود به VPN، گروه دایرکتوری و حساب برنامه سه هویت جداگانه‌اند که می‌توانند از هم جدا شوند. دسترسی به یک درگاه هرگز به معنای دسترسی به پایگاه داده پشت آن نیست، و یک نام در یک دایرکتوری سطری در دیگری ایجاد نمی‌کند. اگر سرویس خارج از محدوده مورد نظر کاربر باشد، آن رد یعنی سیستم دارد کار می‌کند.
از مالک منبع بخواهید استحقاق مورد نظر را تأیید کند، به‌جای اینکه مسیری گسترده اضافه کنید یا گروهی را برای آزمایش باز کنید. گستردن شبکه برای اثبات یک نکته همان راهی است که یک تشخیص موقت به یک افشای دائمی تبدیل می‌شود، و کنترلی را که با آن شروع کردید نابود می‌کند. یک ناسازگاری اثبات‌شده در هر تکرار کافی است: مسیر گم‌شده، خانواده آدرس اشتباه، پورت مسدود یا عضویت گروهی گم‌شده.
پس از هر تغییر، هر دو درخواست را تکرار کنید و خروجی‌ها را کنار هم نگه دارید. بررسی زمانی پایان می‌یابد که سرویس ناکام زیر سیاست خودش کار کند، در حالی که سرویس کارکننده و ردهایی که هنوز انتظار دارید دقیقاً مثل قبل رفتار می‌کنند.