Miksi yksi VPN-resurssi toimii ja toinen aikakatkaistaan

Yksi yksityinen palvelu latautuu tunnelin läpi ja seuraava aikakatkaistaan, ja kiusaus on rakentaa koko asiakasprofiili uudelleen. Toimiva palvelu on hyödyllisempi kontrollina kuin syynä aloittaa alusta. Se todistaa, että yksi kohde, yksi portti ja yksi valtuutuspolku täyttyivät, eikä mitään sen enempää.

Kaksi palvelua samassa yhdyskäytävässä voi tavoittaa eri osoiteperheiden, eri aliverkkojen ja eri käytännön kautta.

Erota toimiva virtaus epäonnistuvasta

Käsittele jokaista palvelua omana virtauksenaan, älä VPN:n oireena. Havainnollistava asiakas voi avata portal.corp.example osoitteessa 172.20.4.15:443 ja silti jäädä saavuttamatta tietokantaa osoitteessa 172.20.9.40:5432, koska ne ovat kaksi kohdetta ja kaksi sääntökokonaisuutta. Kirjoita molemmat rivit muistiin ennen kuin muutat mitään, myös portti ja protokolla, koska sääntö, joka sallii TCP 443:n isännässä, ei kerro mitään TCP 5432:sta samassa isännässä.

Epäonnistuva rivi on se, jota pitää tutkia. Toimiva rivi kertoo vain, missä perustaso on, ja siitä tulee vertailukohta jokaisen muutoksen jälkeen.

Vertaa osoitteita ennen kuin vertaat nimiä

Selvitä jokainen täysi nimi sen käytännön kautta, jota sovellus todella käyttää, ja kirjaa sitten valittu osoiteperhe. Yksi nimi voi palauttaa IPv6-osoitteen, kun toinen palauttaa IPv4:n, ja vanha välimuistiin tallennettu vastaus voi lähettää pyynnön julkiseen osoitteeseen, jolla ei ole mitään tekemistä yksityisen palvelun kanssa.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Haku vastaa kapeaan kysymykseen: minkä reitin tämä isäntä valitsisi kyseiselle kohteelle nykyisillä tauluilla ja käytäntösäännöillä. Reitti kohteeseen 172.20.4.0/24 ei kata kohdetta 172.20.9.0/24, ja toinen verkkohallinta tai tarkempi paikallinen reitti voi hiljaa ohittaa tunnelin. Toista haku nimiavaruuden sisällä tai merkillä, jota sovellus käyttää, kun ne eroavat kuorestasi. Kirjaa myös liitäntä, josta paketti lähtee, koska reittitaulu voi nimetä yhden liitännän, kun taas käytäntöperusteinen reititys lähettää virtauksen toisen kautta.

Sopiva reitti on välttämätön ehto, ei lupa. Se kertoo, että paketilla on minne mennä, eikä mitään siitä, hyväksyykö sen palomuuri, valtuutuspalvelu vai itse isäntä.

Protokolla ja vastausvaihe kertovat, mihin se pysähtyy

Ping-vastaus ei todista, että tietokannan portti on auki, eikä onnistunut HTTPS-sivu valtuuta tiedostojakoa samassa koneessa. Kirjaa, mitä todella tuli takaisin, sen sijaan että tasoittaisit jokaisen epäonnistumisen yhteen kategoriaan. Aikakatkaisu, reset, TLS-identiteettivirhe ja sovellustason hylkäys osoittavat kukin eri kerrokseen.

Ero on tärkeä, koska korjaukset erkanevat. Hiljaisuus tarkoittaa yleensä reitti-, palomuuri- tai käännösongelmaa matkalla. Välitön reset viittaa siihen, että jokin saavutti isännän ja hylkäsi portin. Varmenteen virhe tarkoittaa, että yhteys saapui ja nimi ei täsmännyt, mikä on kokoonpano-ongelma eikä tavoitettavuusongelma. Sovelluksen hylkäys tarkoittaa, että verkko teki tehtävänsä ja identiteetti hylättiin sen jälkeen.

Kun resurssi julkaistaan yhdyskäytävän kautta, vertaa lähdeosoitetta, jonka kohde näkee, siihen lähteeseen, jota asiakkaasi uskoo käyttävänsä. Yhdyskäytävän itsensä aloittama pyyntö voi onnistua, kun sama pyyntö asiakkaalta epäonnistuu, koska ne tulevat eri osoitteista ja kohtaavat eri säännöt.

Muuta yhtä muuttujaa ja aja molemmat pyynnöt uudelleen

Identiteetti on viimeinen paikka, johon ihmiset katsovat, ja ensimmäinen, jossa oikea hylkäys näkyy. VPN-kirjautuminen, hakemistoryhmä ja sovellustili ovat kolme erillistä identiteettiä, jotka voivat erota. Portaaliin pääsy ei koskaan tarkoita pääsyä sen takana olevaan tietokantaan, eikä nimi yhdessä hakemistossa luo riviä toisessa. Jos palvelu on käyttäjän suunnitellun laajuuden ulkopuolella, hylkäys on järjestelmä, joka toimii.

Pyydä resurssin omistajaa vahvistamaan aiottu oikeus sen sijaan, että lisäisit leveän reitin tai avaisit ryhmän testiksi. Verkon laajentaminen asian todistamiseksi on tapa, jolla tilapäisestä diagnostiikasta tulee pysyvä altistus, ja se tuhoaa kontrollin, jolla aloitit. Yksi osoitettu poikkeama iteraatiota kohden riittää: puuttuva reitti, väärä osoiteperhe, estetty portti tai puuttuva ryhmäjäsenyys.

Toista jokaisen muutoksen jälkeen molemmat pyynnöt ja pidä tulosteet rinnakkain. Tutkimus päättyy, kun epäonnistuva palvelu toimii oman käytäntönsä alla, kun taas toimiva palvelu ja ne hylkäykset, joita vielä odotat, käyttäytyvät täsmälleen kuten ennen.