Wêrom ien VPN-bron wurket en in oare útrint

Ien partikuliere tsjinst ladt troch de tunnel en de folgjende rint út, en de ferlieding is om it hiele klantprofyl op 'e nij te bouwen. De wurkjende tsjinst is as kontrôle brûkberder as as reden om hielendal op 'e nij te begjinnen. It bewiist dat ien bestimming, ien poarte en ien autorisaasjepaad foldien binne, en neat mear as dat.

Twa tsjinsten op deselde gateway kinne berikt wurde fia ferskillende adresfamyljes, ferskillende subnetten en ferskillend belied.

Skied de wurkjende stream fan 'e mislearre

Behannelje elke tsjinst as syn eigen stream, net as in symptoom fan 'e VPN. In yllustrative klant kin portal.corp.example iepenje by 172.20.4.15:443 en dochs gjin databank berikke by 172.20.9.40:5432, want dat binne twa bestimmingen mei twa regelsets. Skriuw beide rigen op foardat jo eat feroarje, ynklusyf de poarte en it protokol, want in regel dy't TCP 443 op in host tastiet, seit neat oer TCP 5432 op deselde host.

De mislearre rige is dejinge dy't ûndersocht wurde moat. De wurkjende rige fertelt allinnich wêr't de basisline sit, en dy sil it ferlykingspunt wêze nei elke feroaring.

Ferlykje adressen foardat jo nammen ferlykje

Los elke folsleine namme op fia it belied dat de applikaasje echt brûkt, en skriuw dan de adresfamylje op dy't it keas. Ien namme kin in IPv6-adres weromjaan wylst in oare IPv4 weromjout, en in âld cache-antwurd kin in fersyk nei in iepenbier adres stjoere dat neat mei de partikuliere tsjinst te meitsjen hat.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

De syktocht beantwurdet in smelle fraach: hokker rûte soe dizze host foar dy bestimming kieze, sjoen de hjoeddeiske tabellen en beliedsregels. In rûte foar 172.20.4.0/24 dekt 172.20.9.0/24 net, en in twadde netwurkbehearder of in lokale rûte mei bettere spesifisiteit kin de tunnel stil oerskriuwe. Werhelje de syktocht binnen de nammeromte of mei it merkteken dat de applikaasje brûkt as dy fan jo shell ferskille. Skriuw ek de ynterface op dêr't it pakket troch fuortgiet, want de rûtetabel kin ien ynterface neame wylst beliedsrouting de stream troch in oare stjoert.

In rûte dy't past is in needsaaklike betingst, gjin tastimming. It seit dat it pakket earne hinne kin en neat oer oft in fjoermuorre, in autorisaasjetsjinst as de host sels it akseptearje sil.

Protokol en reaksjestadium fertelle wêr't it stopt

In ping-antwurd bewiist net dat in databankpoarte iepen is, en in suksesfolle HTTPS-side autorisearret gjin bestandieling op deselde masine. Skriuw op wat der echt weromkaam ynstee fan elke mislearring yn ien kategory plat te slaan. In time-out, in reset, in TLS-identiteitsflater en in ôfwizing op applikaasjenivo wize elk op in oare laach.

It ûnderskie is wichtich om't de korreksjes útinoar rinne. Stilte betsjut meastentiids in rûte-, fjoermuorre- of oersettingsprobleem op it paad. In direkte reset suggerearret dat eat de host berikt hat en de poarte wegere. In sertifikaatflater betsjut dat de ferbining oankaam en de namme net paste, wat in konfiguraasjeprobleem is en gjin berikberheidsprobleem. In applikaasje-ôfwizing betsjut dat it netwurk syn wurk dien hat en de identiteit dêrnei wegere waard.

As in boarne fia in gateway publisearre wurdt, ferlykje dan it boarnealder dat de bestimming sjocht mei it boarne dat jo klant tinkt dat er brûkt. In fersyk dat troch de gateway sels ûntstien is, kin slagje wylst itselde fersyk fan in klant misleit, want de twa komme fan ferskillende adressen en treffe ferskillende regels.

Feroarje ien fariabele en rin beide fersiken op 'e nij

Identiteit is it lêste plak dêr't minsken sjen en it earste plak dêr't in korrekte ôfwizing ferskynt. De VPN-oanmelding, de mapgroep en it applikaasje-akkount binne trije aparte identiteiten dy't útinoar rinne kinne. Tagong ta in portaal betsjut nea tagong ta de databank dêrefter, en in namme yn 'e iene map makket gjin rige yn 'e oare. As de tsjinst bûten it bedoelde berik fan 'e brûker leit, is de ôfwizing it systeem dat wurket.

Freegje de boarneeigner om it bedoelde rjocht te befêstigjen ynstee fan in brede rûte ta te foegjen of in groep as test iepen te meitsjen. It netwurk ferbreedzje om in punt te bewizen is hoe't in tydlike diagnostyk in permaninte bleatstelling wurdt, en it ferneatiget de kontrôle wêrmei't jo begûn binne. Ien oantoande ôfwiking per iteraasje is genôch: in ûntbrekkende rûte, in ferkearde adresfamylje, in blokkearre poarte of in ûntbrekkend groepslidmaatskip.

Werhelje nei elke feroaring beide fersiken en hâld de útfier njonken inoar. It ûndersyk einiget as de mislearre tsjinst ûnder syn eigen belied wurket, wylst de wurkjende tsjinst en de ôfwizings dy't jo noch ferwachtsje har krekt as earder gedrage.