Site-to-site VPN virkar aðeins í aðra áttina: tvenn ólík bilun

Staður A nær í B, B nær ekki í A, og göngin líta vel út í báðar áttir. Áður en þið snertið göngin, ákveðið hvaða bilun þið eruð í raun með. Ný tenging sem byrjuð er á B og er hafnað, og svar við tengingu sem byrjuð var á A sem kemur aldrei, gefa svipaðar kvartanir og gjörólíkar greiningar. Önnur er stefnu- eða leiðarvandamál á leiðinni; hin er vandamál með endurkomuleið eða stöðu fyrir umferð sem þegar var leyfð.

Þessi greinarmunur ræður því hvaða skipanir er þess virði að keyra.

Tvær bilanir sem líta nákvæmlega eins út

Í fyrra tilvikinu sendir hýsill B SYN til A og ekkert kemur til baka. Í hinu síðara opnar hýsill A lotu með góðum árangri og svarið hverfur á leiðinni til baka. Báðir notendur segja tenginguna einstefna og báðir lýsa pakka sem hvarf, svo lýsingin ein og sér getur ekki aðgreint þá.

Spyrjið hvor hliðin hóf misheppnuðu tilraunina. Sú eina staðreynd fjarlægir helming mögulegra orsaka.

Athugið svo að prófið hafi notað sömu hýsla og sömu þjónustu allan tímann. Ping frá annarri hlið og tenging við sameiginlega möppu frá hinni prófa tvennt ólíkt, og greining frá gáttinni getur valið gangafang sem engin notendaumferð notar nokkurn tíma.

Fyrra tilvik: endurkomuleiðin vantar

Fjarlægur netþjónn sem svarar um aðra sjálfgefna gátt getur móttekið beiðnina og beint svarinu annað. Eldveggir sem fylgjast með stöðu henda þá ósamhverfa svarinu því það passar ekki við myndað flæði, sem lítur nákvæmlega út eins og átt sem virkaði aldrei. Þýðing bætir við annarri útgáfu: áfangastaðurinn sér þýtt upprunafang og svarar því, svo regla sem skrifuð var fyrir upprunalega fangið passar aldrei.

Athugið fangið sem áfangastaðurinn sér í raun eftir þýðinguna, og endurkomuleiðina fyrir það fang en ekki upprunalega undirnetið.

Síðara tilvik: stefnan leyfði það aldrei

Hið gagnstæða tilvik er einfaldara og algengara en það virðist: ein skrifstofa á að nota miðlæga þjónustu og hefja aldrei tengingar inn í miðstöðina. Sú ósamhverfa er viljandi aðgangsákvörðun, og göngin virka eins og hönnuð var. Lesið aðgangsstefnuna áður en þið breytið einhverri stillingu ganganna. Skjalið, ekki pakkaskráin, segir hvaða átt var ætluð. Skráin getur aðeins sýnt hvað gerðist, ekki hvað var heimilað.

Ef tvíátta frumkvæði er í raun nauðsynlegt, bætið við leyfi fyrir þá tilteknu þjónustu í gegnum studda reglusett kerfisins. Að gera hvert undirnet gagnkvæmt treyst til að laga eitt forrit breytir þröngri kröfu í víðtækt leyfi, og sjaldan er farið yfir þá skipti síðar.

Berjið saman fyrir og eftir á sömu hýslum

Fylgist með báðum endum sömu tilraunar, ekki tveimur aðskildum tilraunum. Skráið á gátt hýsilsins sem byrjar og á áfangastaðnum, og berið svo saman hvað kom inn, hvað fór út og hvaða fang fjarlæga hliðin sá.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Ef skráin á áfangastaðnum sýnir beiðnina með óvæntu upprunafangi liggur svarið í þýðingu eða leiðarvali, ekki í öryggisstefnu ganganna. Ef áfangastaðurinn sýnir enga beiðni yfirleitt fór pakkinn aldrei um varða leiðina.

Eftir leiðréttingu, endurtakið sama prófið frá sama hýsli og staðfestið að óskyldur aðgangur sé enn hafnaður. Göng sem eru “established” styðja hvoruga niðurstöðuna eitt og sér.