TCP berfungsi tetapi UDP mencapai server lain pada port yang sama

Sebuah profil berfungsi melalui TCP dan gagal melalui UDP dengan peringatan sertifikat. Bacaan intuitifnya adalah jalur UDP merusak kepercayaan, dan perbaikan intuitifnya adalah menerima sertifikat. Kedua asumsi melewatkan satu kemungkinan yang menjelaskan gejala sepenuhnya: kedua transportasi mencapai mesin yang berbeda. Aturan penerusan dicocokkan per protokol, dan tidak ada yang memaksa separuh TCP dan UDP dari satu nomor port menunjuk ke host yang sama.

Satu nomor port, dua aturan independen

Penerusan adalah pencarian tabel berdasarkan protokol, alamat tujuan, dan port. Gateway dengan aturan untuk TCP 1194 dan aturan untuk UDP 1194 menyatakan dua keputusan independen, dan keduanya dapat menyebut host internal yang berbeda. Nomor bersama adalah kemudahan bagi manusia, bukan sifat yang dipaksakan jaringan. Perlakukan nomor port sebagai label, bukan sebagai definisi layanan.

Lihat aturan yang berlaku, bukan yang dimaksudkan. Alamat tujuan, port yang diterjemahkan, dan antarmuka masuk semuanya berperan, dan aturan sisa dari migrasi sebelumnya adalah alasan biasa kedua bagian tidak cocok.

Tuliskan kedua pemetaan sebelum mengubah hal lain. Pasangan baris itu adalah seluruh hipotesis.

Apa yang sebenarnya diverifikasi klien

Selama jabat tangan klien memeriksa sertifikat terhadap kepercayaan yang dikonfigurasi dan terhadap nama yang diharapkannya. Sertifikat tak terduga adalah verifikasi yang berhasil tetapi gagal pada pemeriksaan identitas, dan itulah hasil yang benar ketika pihak lain bukan yang ingin Anda capai. Menolaknya adalah bukti klien bekerja, bukan bukti transportasi rusak. Baca nama yang dilaporkan sebelum rantai yang dilaporkan, karena nama itulah yang dibandingkan klien.

Perbedaan ini penting karena kedua kegagalan menuju perbaikan yang berbeda. Masalah kepercayaan membutuhkan perbaikan kepercayaan, sedangkan pihak tak terduga membutuhkan perbaikan perutean atau penerusan.

Catat identitas mana yang dilaporkan klien. Nama itu adalah petunjuk terkuat tentang mesin mana yang menjawab.

Korelasikan percobaan dengan sebuah server

Catat profil, alamat publik, transportasi, dan port yang digunakan klien. Lalu cocokkan waktu percobaan dengan log server yang ingin Anda capai. Ketidakhadiran di sana adalah petunjuk, bukan bukti firewall membuang paket, karena tingkat pencatatan berbeda antar penerapan. Stempel waktu bersama alamat sumber mempersempit lebih banyak daripada masing-masing sendiri.

Bandingkan identitas sertifikat yang Anda temui dengan identitas yang diharapkan melalui kanal administratif. Perbandingan di luar kanal itulah yang menjaga pemeriksaan tetap tepercaya.

Periksa aturan penerusan lama, pendengar alternatif, dan jalur penyeimbangan beban apa pun sebelum menyimpulkan bahwa kedua transportasi berbagi backend. Masing-masing dapat mengalihkan aliran tanpa menyentuh transportasi lain.

Jangan sesuaikan kepercayaan dengan pihak yang salah

Mengimpor CA tak terduga membuat gejala hilang dan mengubah siapa yang dipercaya klien. Ini keadaan yang lebih buruk daripada koneksi gagal, karena menyembunyikan ketidakcocokan alih-alih menyelesaikannya. Hal yang sama berlaku untuk mematikan verifikasi hanya untuk melihat apakah terowongan naik.

Jika pihak itu ternyata sah tetapi tidak diinginkan, tindakan yang benar adalah menonaktifkannya atau mengarahkan aturan ke host yang tepat. Penyimpanan kepercayaan bukan tempat untuk merekonsiliasi kesalahan inventaris.

Simpan teks penolakan. Itu satu-satunya catatan tentang apa yang dilihat klien.

Setelah perbaikan, uji aliran baru

Perbaiki pemetaan lalu sambungkan dengan sesi klien baru. Terjemahan stateful dapat menahan aliran yang ada tetap menuju tujuan lama, sehingga koneksi yang sudah terbentuk dapat bertahan dari perubahan dan menyesatkan Anda. Mulai yang baru dan pastikan dari log server yang dimaksud bahwa server itu menangani percobaan tersebut.

Jika kedua transportasi terbukti mencapai server yang sama dan tetap berperilaku berbeda, perbedaan yang tersisa adalah pendengar dan konfigurasi server itu sendiri. Perbandingan transportasi baru bermakna setelah identitas titik akhir ditetapkan.