რატომ მუშაობს ერთი VPN რესურსი და მეორეს დრო ეწურება

ერთი კერძო სერვისი გვირაბით იტვირთება, ხოლო შემდეგს დრო ეწურება, და ცდუნებაა მთელი კლიენტის პროფილის ხელახლა აწყობა. მომუშავე სერვისი უფრო სასარგებლოა როგორც კონტროლი, ვიდრე როგორც ნულიდან დაწყების მიზეზი. ის ამტკიცებს, რომ ერთი დანიშნულება, ერთი პორტი და ერთი ავტორიზაციის გზა დაკმაყოფილდა, და მეტი არაფერი.

ერთი და იმავე კარიბჭეზე ორ სერვისზე შეიძლება მიღწევა სხვადასხვა მისამართების ოჯახებით, სხვადასხვა ქვექსელებით და სხვადასხვა პოლიტიკით.

გამოყავით მომუშავე ნაკადი წარუმატებლისგან

თითოეულ სერვისს განიხილეთ როგორც საკუთარი ნაკადი და არა როგორც VPN-ის სიმპტომი. საილუსტრაციო კლიენტს შეუძლია გახსნას portal.corp.example 172.20.4.15:443-ზე და მაინც ვერ მიაღწიოს მონაცემთა ბაზას 172.20.9.40:5432-ზე, რადგან ეს ორი დანიშნულებაა ორი წესების ნაკრებით. ჩამოწერეთ ორივე სტრიქონი სანამ რამეს შეცვლით, პორტისა და პროტოკოლის ჩათვლით, რადგან წესი, რომელიც ჰოსტზე TCP 443-ს უშვებს, არაფერს ამბობს იმავე ჰოსტზე TCP 5432-ზე.

წარუმატებელი სტრიქონია გამოსაკვლევი. მომუშავე სტრიქონი მხოლოდ ამბობს, სად არის საბაზისო ხაზი, და ყოველი ცვლილების შემდეგ შედარების წერტილი იქნება.

შეადარეთ მისამართები სანამ სახელებს შეადარებთ

გადაწყვიტეთ თითოეული სრული სახელი იმ პოლიტიკით, რომელსაც აპლიკაცია რეალურად იყენებს, შემდეგ ჩაწერეთ არჩეული მისამართების ოჯახი. ერთმა სახელმა შეიძლება დააბრუნოს IPv6 მისამართი, ხოლო მეორემ IPv4, და ძველმა ქეშირებულმა პასუხმა შეიძლება მოთხოვნა გაგზავნოს საჯარო მისამართზე, რომელსაც კერძო სერვისთან არაფერი აქვს საერთო.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

ძებნა პასუხობს ვიწრო კითხვას: რომელ მარშრუტს აირჩევდა ეს ჰოსტი იმ დანიშნულებისთვის, მიმდინარე ცხრილებისა და პოლიტიკის წესების გათვალისწინებით. 172.20.4.0/24-ის მარშრუტი არ ფარავს 172.20.9.0/24-ს, და მეორე ქსელის მენეჯერმა ან უფრო მეტი სპეციფიკის მქონე ლოკალურმა მარშრუტმა შეიძლება ჩუმად გადაფაროს გვირაბი. გაიმეორეთ ძებნა სახელთა სივრცის შიგნით ან იმ ნიშნით, რომელსაც აპლიკაცია იყენებს, როცა ისინი თქვენი გარსისგან განსხვავდება. ჩაწერეთ ასევე ინტერფეისი, რომლითაც პაკეტი გადის, რადგან მარშრუტების ცხრილმა შეიძლება დაასახელოს ერთი ინტერფეისი, ხოლო პოლიტიკაზე დაფუძნებული მარშრუტიზაცია ნაკადს მეორეთი აგზავნის.

დამთხვეული მარშრუტი აუცილებელი პირობაა და არა ნებართვა. ის ამბობს, რომ პაკეტს აქვს საით წასვლა, და არაფერს იმაზე, მიიღებს თუ არა მას ბუხრის კედელი, ავტორიზაციის სერვისი თუ თავად ჰოსტი.

პროტოკოლი და პასუხის ეტაპი ამბობენ, სად ჩერდება

ping-ის პასუხი არ ამტკიცებს, რომ მონაცემთა ბაზის პორტი ღიაა, და წარმატებული HTTPS გვერდი არ ანიჭებს უფლებას ფაილების გაზიარებას იმავე მანქანაზე. ჩაწერეთ, რა რეალურად დაბრუნდა, ყოველი მარცხის ერთ კატეგორიაში გასწორების ნაცვლად. დროის ამოწურვა, გადატვირთვა, TLS იდენტობის შეცდომა და აპლიკაციის დონეზე უარი თითოეული სხვადასხვა ფენაზე მიუთითებს.

განსხვავება მნიშვნელოვანია, რადგან შესწორებები იშლება. სიჩუმე ჩვეულებრივ ნიშნავს მარშრუტის, ბუხრის კედლის ან გზაზე თარგმანის პრობლემას. მყისიერი გადატვირთვა მიანიშნებს, რომ რაღაც ჰოსტს მიაღწია და პორტზე უარი თქვა. სერტიფიკატის შეცდომა ნიშნავს, რომ კავშირი მოვიდა და სახელი არ დაემთხვა, რაც კონფიგურაციის პრობლემაა და არა ხელმისაწვდომობის. აპლიკაციის უარი ნიშნავს, რომ ქსელმა თავისი საქმე გააკეთა და იდენტობა შემდეგ უარყვეს.

როცა რესურსი კარიბჭის მეშვეობით ქვეყნდება, შეადარეთ წყაროს მისამართი, რომელსაც დანიშნულება ხედავს, იმ წყაროსთან, რომელსაც თქვენი კლიენტი ფიქრობს, რომ იყენებს. თავად კარიბჭის მიერ წამოწყებული მოთხოვნა შეიძლება წარმატებით დასრულდეს, მაშინ როცა კლიენტის იგივე მოთხოვნა მარცხდება, რადგან ორივე სხვადასხვა მისამართიდან მოდის და სხვადასხვა წესს ხვდება.

შეცვალეთ ერთი ცვლადი და ხელახლა გაუშვით ორივე მოთხოვნა

იდენტობა ბოლო ადგილია, სადაც ადამიანები იყურებიან, და პირველი ადგილი, სადაც სწორი უარი ჩნდება. VPN-ში შესვლა, დირექტორიის ჯგუფი და აპლიკაციის ანგარიში სამი ცალკე იდენტობაა, რომლებიც შეიძლება გაიყოს. პორტალზე წვდომა არასოდეს ნიშნავს მის უკან მდებარე მონაცემთა ბაზაზე წვდომას, და ერთ დირექტორიაში სახელი არ ქმნის სტრიქონს მეორეში. თუ სერვისი მომხმარებლის განზრახული არეალის გარეთაა, უარი სისტემის მუშაობაა.

სთხოვეთ რესურსის მფლობელს დაადასტუროს განზრახული უფლება, ნაცვლად იმისა, რომ დაამატოთ ფართო მარშრუტი ან გახსნათ ჯგუფი ტესტისთვის. ქსელის გაფართოება პუნქტის დასამტკიცებლად ის გზაა, რომლითაც დროებითი დიაგნოსტიკა მუდმივ გამოვლენად იქცევა, და ანადგურებს იმ კონტროლს, რომლითაც დაიწყეთ. ერთი დადასტურებული შეუსაბამობა თითო იტერაციაზე საკმარისია: დაკარგული მარშრუტი, არასწორი მისამართების ოჯახი, დაბლოკილი პორტი ან დაკარგული ჯგუფის წევრობა.

ყოველი ცვლილების შემდეგ გაიმეორეთ ორივე მოთხოვნა და შეინახეთ შედეგები გვერდიგვერდ. გამოკვლევა მთავრდება, როცა წარუმატებელი სერვისი საკუთარი პოლიტიკით მუშაობს, მაშინ როცა მომუშავე სერვისი და ის უარები, რომლებსაც ჯერ კიდევ ელოდებით, ზუსტად ისე იქცევიან, როგორც ადრე.