क्यों एक VPN संसाधन काम करता है और दूसरा समय समाप्त हो जाता है

एक निजी सेवा सुरंग से लोड होती है और अगली का समय समाप्त हो जाता है, और लालच यह होता है कि पूरा क्लाइंट प्रोफ़ाइल फिर से बनाया जाए। काम करती सेवा शुरू से दोबारा करने के कारण से अधिक नियंत्रण के रूप में उपयोगी है। यह सिद्ध करती है कि एक गंतव्य, एक पोर्ट और एक प्राधिकरण पथ संतुष्ट हुए, और इससे आगे कुछ नहीं।

एक ही गेटवे पर दो सेवाओं तक अलग-अलग पता परिवारों, अलग-अलग सबनेट और अलग-अलग नीति से पहुँचा जा सकता है।

काम करने वाले प्रवाह को विफल प्रवाह से अलग करें

हर सेवा को उसके अपने प्रवाह के रूप में देखें, VPN के लक्षण के रूप में नहीं। एक उदाहरणीय क्लाइंट portal.corp.example को 172.20.4.15:443 पर खोल सकता है और फिर भी 172.20.9.40:5432 पर एक डेटाबेस तक पहुँचने में विफल हो सकता है, क्योंकि वे दो नियम-समूहों वाले दो गंतव्य हैं। कुछ भी बदलने से पहले दोनों पंक्तियाँ लिख लें, पोर्ट और प्रोटोकॉल सहित, क्योंकि किसी होस्ट पर TCP 443 की अनुमति देने वाला नियम उसी होस्ट पर TCP 5432 के बारे में कुछ नहीं कहता।

विफल पंक्ति ही जाँचने योग्य है। काम करती पंक्ति केवल बताती है कि आधार-रेखा कहाँ है, और हर बदलाव के बाद वही तुलना का बिंदु होगी।

नामों की तुलना से पहले पतों की तुलना करें

हर पूर्ण नाम को उस नीति से हल करें जो एप्लिकेशन वास्तव में उपयोग करता है, फिर उसने जो पता परिवार चुना उसे दर्ज करें। एक नाम IPv6 पता लौटा सकता है जबकि दूसरा IPv4 लौटाता है, और एक पुराना कैश किया गया उत्तर किसी अनुरोध को ऐसे सार्वजनिक पते पर भेज सकता है जिसका निजी सेवा से कोई संबंध नहीं है।

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

खोज एक संकीर्ण प्रश्न का उत्तर देती है: मौजूदा तालिकाओं और नीति नियमों को देखते हुए यह होस्ट उस गंतव्य के लिए कौन-सा मार्ग चुनेगा। 172.20.4.0/24 के लिए मार्ग 172.20.9.0/24 को कवर नहीं करता, और दूसरा नेटवर्क प्रबंधक या बेहतर विशिष्टता वाला स्थानीय मार्ग सुरंग को चुपचाप ओवरराइड कर सकता है। जब वे आपके शेल से भिन्न हों तो नामस्थान के भीतर या उस चिह्न के साथ खोज दोहराएँ जो एप्लिकेशन उपयोग करता है। पैकेट किस इंटरफ़ेस से निकलता है यह भी दर्ज करें, क्योंकि मार्ग तालिका एक इंटरफ़ेस का नाम बता सकती है जबकि नीति-आधारित राउटिंग प्रवाह को दूसरे से भेजती है।

मेल खाता मार्ग एक आवश्यक शर्त है, अनुमति नहीं। यह बताता है कि पैकेट के पास जाने की जगह है और इस बारे में कुछ नहीं कि फ़ायरवॉल, प्राधिकरण सेवा या होस्ट स्वयं उसे स्वीकार करेंगे या नहीं।

प्रोटोकॉल और प्रतिक्रिया का चरण बताते हैं कि कहाँ रुकता है

पिंग का उत्तर यह सिद्ध नहीं करता कि डेटाबेस पोर्ट खुला है, और सफल HTTPS पृष्ठ उसी मशीन पर फ़ाइल साझाकरण को अधिकृत नहीं करता। हर विफलता को एक श्रेणी में समतल करने के बजाय दर्ज करें कि वास्तव में क्या लौटा। समय समाप्ति, रीसेट, TLS पहचान त्रुटि और एप्लिकेशन-स्तरीय अस्वीकृति—हर एक भिन्न परत की ओर इशारा करती है।

अंतर महत्वपूर्ण है क्योंकि सुधार अलग दिशाओं में जाते हैं। मौन सामान्यतः मार्ग, फ़ायरवॉल या रास्ते में अनुवाद की समस्या दर्शाता है। तत्काल रीसेट सुझाव देता है कि कुछ होस्ट तक पहुँचा और पोर्ट को अस्वीकार किया। प्रमाणपत्र त्रुटि का अर्थ है कि कनेक्शन पहुँचा और नाम मेल नहीं खाया, जो कॉन्फ़िगरेशन की समस्या है, पहुँच की नहीं। एप्लिकेशन की अस्वीकृति का अर्थ है कि नेटवर्क ने अपना काम किया और पहचान बाद में अस्वीकृत हुई।

जब कोई संसाधन गेटवे के माध्यम से प्रकाशित होता है, तो गंतव्य जो स्रोत पता देखता है उसकी तुलना उस स्रोत से करें जो आपका क्लाइंट मानता है कि वह उपयोग करता है। गेटवे द्वारा ही शुरू किया गया अनुरोध सफल हो सकता है जबकि क्लाइंट से वही अनुरोध विफल हो जाता है, क्योंकि दोनों अलग-अलग पतों से आते हैं और अलग-अलग नियमों से मिलते हैं।

एक चर बदलें और दोनों अनुरोध फिर से चलाएँ

पहचान वह अंतिम जगह है जहाँ लोग देखते हैं और वह पहली जगह जहाँ सही अस्वीकृति दिखाई देती है। VPN लॉगिन, निर्देशिका समूह और एप्लिकेशन खाता तीन अलग पहचान हैं जो अलग हो सकती हैं। पोर्टल तक पहुँच कभी भी उसके पीछे के डेटाबेस तक पहुँच नहीं दर्शाती, और एक निर्देशिका में नाम दूसरी में पंक्ति नहीं बनाता। यदि सेवा उपयोगकर्ता के इच्छित दायरे से बाहर है, तो अस्वीकृति ही सिस्टम के काम करने का संकेत है।

संसाधन के मालिक से इच्छित अधिकार की पुष्टि करने को कहें, चौड़ा मार्ग जोड़ने या परीक्षण के रूप में समूह खोलने के बजाय। कोई बात सिद्ध करने के लिए नेटवर्क को चौड़ा करना ही वह तरीका है जिससे अस्थायी निदान स्थायी जोखिम बन जाता है, और यह उसी नियंत्रण को नष्ट कर देता है जिससे आपने शुरुआत की। प्रति पुनरावृत्ति एक प्रदर्शित असंगति पर्याप्त है: लुप्त मार्ग, गलत पता परिवार, अवरुद्ध पोर्ट या अनुपस्थित समूह सदस्यता।

हर बदलाव के बाद दोनों अनुरोध दोहराएँ और आउटपुट साथ-साथ रखें। जाँच तब समाप्त होती है जब विफल सेवा अपनी नीति के अंतर्गत काम करती है जबकि काम करती सेवा और वे अस्वीकृतियाँ जिनकी आप अभी भी अपेक्षा करते हैं, पहले की तरह व्यवहार करती हैं।