Site-to-site-VPN wurket mar ien kant út: twa ferskillende fouten

Lokaasje A berikt B, B kin A net berikke, en de tunnel sjocht der yn beide rjochtingen goed út. Foardat jo de tunnel oanreitsje, beslute hokker fout jo echt hawwe. In nije ferbining start by B dy’t wegere wurdt, en in antwurd op in ferbining start by A dat nea oankomt, jouwe ferlykbere klachten en folslein oare diagnoazes. Ien is in belied- of rûteprobleem op it paad; de oare is in weromwei- of steatprobleem foar ferkear dat al tastien wie.

Dat ferskil beslút hokker opdrachten it wurdich binne om te rinnen.

Twa fouten dy’t identyk lykje

Yn it earste gefal stjoert B syn host in SYN nei A, en der komt neat werom. Yn it twadde iepent A syn host in sesje mei súkses en it antwurd ferdwynt op de weromwei. Beide brûkers sizze dat de keppeling ienrjochting is, en beide beskriuwe in pakket dat ferdwûn is, dus de beskriuwing allinnich kin se net skiede.

Freegje hokker kant de mislearre poging begûn. Dat iene feit hellet de helte fan de mooglike oarsaken fuort.

Kontrolearje dan dat de test de hiele tiid deselde hosts en deselde tsjinst brûkte. In ping fan ien kant en in triemdieleferbining fan de oare kant testje twa ferskillende dingen, en in diagnostyk fan de poarte ôf kin in tunneladres kieze dat gjin brûkersferkear ea brûkt.

Gefal ien: de weromwei ûntbrekt

In fiere tsjinner dy’t antwurdet fia in oare standertpoarte kin it fersyk ûntfange en it antwurd earne oars hinne rûte. Firewalls dy’t de steat byhâlde, litte dan it asymmetryske antwurd falle om’t it net by in festige stream past, wat der krekt as in rjochting útsjocht dy’t nea wurke hat. Oersetting foeget noch in ferzje ta: de bestimming sjocht in oerset boarne en antwurdet dêrop, dus in regel skreaun foar it orizjinele adres past nea.

Kontrolearje it adres dat de bestimming nei oersetting echt sjocht, en de weromrûte foar dat adres ynstee fan foar it orizjinele subnet.

Gefal twa: it belied hat it nea tastien

It tsjinoerstelde gefal is ienfâldiger en gewoaner as it liket: ien kantoar moat in sintrale tsjinst brûke en moat nea ferbiningen nei it sintrum begjinne. Dy asymmetry is in bewuste tagongsbeslissing, en de tunnel wurket sa’t er ûntwurpen is. Lês it tagongsbelied foardat jo ien tunnelynstelling feroarje. It dokumint, net de pakketopname, seit hokker rjochting bedoeld wie. In opname kin allinnich sjen litte wat der barde, net wat tastien wie.

As twarjochting-inisjaasje echt nedich is, foegje de tastimming foar de spesifike tsjinst ta fia de stipe regelset fan it platfoarm. Elk subnet ûnderling fertrouwen meitsje om ien applikaasje te reparearjen feroaret in smelle eask yn in brede tastimming, en dy ruil wurdt nei ôfrin selden opnij besjoen.

Ferlykje foar en nei op deselde hosts

Sjoch nei beide ein fan deselde poging, net twa aparte pogings. Nim op by de poarte fan de host dy’t begjint en by de bestimming, en ferlykje dan wat der yn kaam, wat der út gie en hokker adres de fiere kant seach.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

As de opname by de bestimming it fersyk mei in ûnferwachte boarneadres sjen lit, leit it antwurd yn oersetting of routing, net yn it feiligensbelied fan de tunnel. As de bestimming hielendal gjin fersyk sjen lit, hat it pakket it beskerme paad nea oerstutsen.

Nei in korreksje werhelje jo deselde test fan deselde host en befêstigje dat ûnbesibbe tagong noch wegere wurdt. In tunnelsteat fan “established” stipet gjin fan de beide konklúzjes op himsels.