Сайттар аралык VPN бир гана багытта иштейт: эки башка бузулуу
Эч качан кайтпаган жооп жана четке кагылган туташуу эки башка бузулуу. Саясатты, маршруттоону жана сервер чындыгында көргөн булак дарегин салыштырыңыз.
A сайты B-ге жетет, B A-га жете албайт, ал эми туннель эки багытта тең оң көрүнөт. Туннелге тийүүдөн мурун кандай бузулуу бар экенин аныктаңыз. B-де башталган жана четке кагылган жаңы туташуу менен A-да башталган туташууга эч качан келбеген жооп окшош нааразылыктарды жана таптакыр башка диагностикаларды жаратат. Бири жолдогу саясат же маршрут маселеси; экинчиси мурун эле уруксат берилген трафик үчүн кайтуу жолунун же абалдын маселеси.
Ушул айырма кайсы буйруктарды иштетүүгө татыктуу экенин чечет.
Бирдей көрүнгөн эки бузулуу
Биринчи учурда B хосту A-га SYN жөнөтөт, бирок эч нерсе кайтпайт. Экинчисинде A хосту сессияны ийгиликтүү ачат, ал эми жооп кайтуу жолунда жоголот. Эки колдонуучу тең байланыш бир багыттуу деп айтышат, экөө тең жоголгон пакетти сүрөттөшөт, ошондуктан сүрөттөө эле аларды ажырата албайт.
Ийгиликсиз аракетти кайсы тарап баштаганын сураңыз. Ушул бир факт мүмкүн болгон себептердин жарымын алып салат.
Андан кийин сыноо башынан аягына чейин бирдей хостторду жана кызматты колдонгонун текшериңиз. Бир тараптан ping жана экинчи тараптан файл бөлүшүү туташуусу эки башка нерсени текшерет, ал эми шлюзден алынган диагностика эч бир колдонуучу трафиги колдонбогон туннель дарегин тандашы мүмкүн.
Биринчи учур: кайтуу жолу жок
Башка демейки шлюз аркылуу жооп берген алыскы сервер сурамды кабыл алып, жоопту башка жакка маршруттай алат. Андан кийин абалды көзөмөлдөгөн брандмауэрлер асимметриялык жоопту ыргытат, анткени ал түзүлгөн агымга туура келбейт, бул эч качан иштебеген багытка так окшош. Котормо дагы бир вариант кошот: бара турган жер которулган булакты көрүп, ошого жооп берет, ошондуктан баштапкы дарек үчүн жазылган эреже эч качан дал келбейт.
Котормодон кийин бара турган жер чындыгында көргөн даректи жана кайтуу маршрутун баштапкы ички тармак үчүн эмес, ошол дарек үчүн текшериңиз.
Экинчи учур: саясат буга эч качан уруксат берген эмес
Кайта учур көрүнгөндөн жөнөкөй жана кеңири таралган: бир кеңсе борбордук кызматты керектеши керек жана борборго эч качан туташуу баштабашы керек. Бул асимметрия атайын кабыл алынган кирүү чечими, ал эми туннель долбоорлогондой иштейт. Туннелдин каалаган жөндөөсүн өзгөртүүдөн мурун кирүү саясатын окуңуз. Кайсы багыт көздөлгөнүн документ айтат, пакетти жазуу эмес. Жазуу эмне болгонун гана көрсөтө алат, эмнеге уруксат берилгенин эмес.
Эгер эки тараптуу баштоо чын эле керек болсо, платформанын колдогон эрежелер жыйындысы аркылуу белгилүү кызматтын уруксатын кошуңуз. Бир колдонмону оңдоо үчүн ар бир ички тармакты өз ара ишенимдүү кылуу тар талапты кең уруксатка айландырат, жана бул алмашуу кийин сейрек каралат.
Бирдей хосттордо мурунку жана кийинки абалды салыштырыңыз
Эки өзүнчө аракетти эмес, бир аракеттин эки учун байкаңыз. Баштаган хосттун шлюзунда жана бара турган жерде жазып алыңыз, андан кийин эмне киргенин, эмне чыкканын жана алыскы тарап кайсы даректи көргөнүн салыштырыңыз.
tcpdump -ni any host 10.20.30.40 and port 445 conntrack -L | grep 10.20.30.40 ip route get 10.20.30.40 swanctl --list-sas
Эгер бара турган жердеги жазуу сурамды күтүлбөгөн булак дареги менен көрсөтсө, жооп котормодо же маршруттоодо, туннелдин коопсуздук саясатында эмес. Эгер бара турган жер эч кандай сурам көрсөтпөсө, пакет корголгон жолдон эч качан өткөн эмес.
Оңдоодон кийин ошол эле хосттон ошол эле сыноону кайталаңыз жана байланышсыз кирүү дагы эле четке кагылып жатканын ырастаңыз. “established” туннель статусу эки тыянактын бирин да жалгыз өзү колдобойт.