Сайт-аралық VPN тек бір бағытта жұмыс істейді: екі түрлі ақау
Ешқашан қайтпайтын жауап пен қабылданбаған қосылым екі түрлі ақау. Саясатты, маршруттауды және сервер шын мәнінде көретін бастау мекенжайын салыстырыңыз.
A сайты B-ге жетеді, B A-ға жете алмайды, ал туннель екі бағытта да дұрыс көрінеді. Туннельге қол тигізбес бұрын қандай ақау бар екенін анықтаңыз. B-де басталған және қабылданбаған жаңа қосылым мен A-да басталған қосылымға ешқашан келмейтін жауап ұқсас шағымдар мен мүлде басқа диагностикалар тудырады. Біреуі жолдағы саясат немесе маршрут мәселесі; екіншісі бұрыннан рұқсат етілген трафик үшін қайту жолы немесе күй мәселесі.
Осы айырмашылық қандай командаларды іске қосуға тұрарлық екенін шешеді.
Бірдей көрінетін екі ақау
Бірінші жағдайда B хосты A-ға SYN жібереді, бірақ ештеңе қайтпайды. Екіншісінде A хосты сессияны сәтті ашады, ал жауап қайту жолында жоғалады. Екі пайдаланушы да байланыс бір бағытты дейді, екеуі де жоғалған пакетті сипаттайды, сондықтан тек сипаттау оларды ажырата алмайды.
Сәтсіз әрекетті қай тарап бастағанын сұраңыз. Осы бір факт мүмкін себептердің жартысын алып тастайды.
Содан кейін сынақтың басынан аяғына дейін бірдей хосттар мен қызметті пайдаланғанын тексеріңіз. Бір жақтан ping және екінші жақтан файл алмасу қосылымы екі түрлі нәрсені тексереді, ал шлюзден алынған диагностика ешбір пайдаланушы трафигі пайдаланбайтын туннель мекенжайын таңдауы мүмкін.
Бірінші жағдай: қайту жолы жоқ
Басқа әдепкі шлюз арқылы жауап беретін қашықтағы сервер сұранысты қабылдап, жауапты басқа жерге маршруттай алады. Содан кейін күйді қадағалайтын брандмауэрлер асимметриялық жауапты тастайды, өйткені ол орнатылған ағынға сәйкес келмейді, бұл ешқашан жұмыс істемеген бағытқа дәл ұқсайды. Аударма тағы бір нұсқа қосады: межелі орын аударылған бастауды көреді және соған жауап береді, сондықтан бастапқы мекенжайға жазылған ереже ешқашан сәйкес келмейді.
Аудармадан кейін межелі орын шын мәнінде көретін мекенжайды және қайту маршрутын бастапқы ішкі желі үшін емес, сол мекенжай үшін тексеріңіз.
Екінші жағдай: саясат бұған ешқашан рұқсат бермеген
Кері жағдай көрінгеннен қарапайым және жиірек: бір кеңсе орталық қызметті тұтынуы керек және орталыққа ешқашан қосылым бастамауы тиіс. Бұл асимметрия әдейі қабылданған қатынау шешімі, ал туннель жобаланғандай жұмыс істейді. Туннельдің кез келген параметрін өзгертуден бұрын қатынау саясатын оқыңыз. Қай бағыт көзделгенін құжат айтады, пакет түсірілімі емес. Түсірілім тек не болғанын көрсете алады, неге рұқсат етілгенін емес.
Егер екі жақты бастау шынымен қажет болса, платформаның қолдайтын ережелер жиынтығы арқылы нақты қызметке рұқсат қосыңыз. Бір қолданбаны түзету үшін әр ішкі желіні өзара сенімді ету тар талапты кең рұқсатқа айналдырады, және бұл айырбас кейін сирек қаралады.
Бірдей хосттарда алдындағы және кейінгі күйді салыстырыңыз
Бір әрекеттің екі ұшын бақылаңыз, екі бөлек әрекетті емес. Бастайтын хосттың шлюзінде және межелі орында түсіріңіз, содан кейін не кіргенін, не шыққанын және алыс жақ қандай мекенжайды көргенін салыстырыңыз.
tcpdump -ni any host 10.20.30.40 and port 445 conntrack -L | grep 10.20.30.40 ip route get 10.20.30.40 swanctl --list-sas
Егер межелі орындағы түсірілім сұранысты күтпеген бастау мекенжайымен көрсетсе, жауап аудармада немесе маршруттауда, туннельдің қауіпсіздік саясатында емес. Егер межелі орын мүлде сұраныс көрсетпесе, пакет қорғалған жолдан ешқашан өтпеген.
Түзетуден кейін сол хосттан дәл сол сынақты қайталаңыз және байланыссыз қатынау әлі де қабылданбайтынын растаңыз. “established” туннель күйі екі қорытындының ешқайсысын да жалғыз өзі қолдамайды.