Site-to-Site-VPN funktionnéiert nëmmen an eng Richtung: zwou verschidde Feeler

Standuert A erreecht B, B erreecht A net, an den Tunnel gesäit a béid Richtungen an der Rei aus. Ier dir den Tunnel ufaasst, entscheet wéi ee Feeler dir wierklech hutt. Eng nei Verbindung déi vu B aus ugefaang a refuséiert gëtt, an eng Äntwert op eng Verbindung déi vun A aus ugefaang gouf déi ni ukënnt, produzéieren änlech Plainten an ganz ënnerschiddlech Diagnosen. Dat engt ass e Politik- oder Routingprobleem um Wee; dat anert ass e Réckwee- oder Zoustandsprobleem fir Traffic deen schonn erlaabt war.

Dësen Ënnerscheed entscheet wéi eng Kommandoen et wäert sinn ze lafen.

Zwee Feeler déi identesch ausgesinn

Am éischte Fall schéckt dem B säin Host en SYN op A, an et kënnt näischt zréck. Am zweiten opent dem A säin Host eng Sessioun mat Erfolleg an d’Äntwert verschwënnt um Réckwee. Béid Benotzer soen d’Verbindung wier eenzpurteg, a béid beschreiwen e Pak dee verschwonnen ass, dofir kann d’Beschreiwung eleng se net trennen.

Frot wéi eng Säit de feelgeschloenen Versuch ugefaangen huet. Dës eenzeg Tatsaach hëlt d’Halschent vun de méiglechen Ursaachen ewech.

Kontrolléiert duerno datt den Test déi ganz Zäit déiselwecht Hosten an dee selwechte Service benotzt huet. E Ping vun enger Säit an eng Dateifreigabeverbindung vun der anerer testen zwee verschidden Saachen, an eng Diagnostik vun der Paart aus ka eng Tunneladress wielen déi kee Benotzertraffic je benotzt.

Fall éischt: de Réckwee feelt

En entfernte Server deen iwwer eng aner Standardpaart äntwert ka d’Ufro kréien an d’Äntwert soss wouhi routen. Da werfen d’Firewallen déi den Zoustand suivéieren déi asymmetresch Äntwert ewech, well se net zu engem etabléierte Floss passt, wat genee wéi eng Richtung ausgesäit déi ni funktionnéiert huet. D’Iwwersetzung füügt nach eng Variant derbäi: d’Destinatioun gesäit eng iwwersat Quell an äntwert dorop, dofir passt eng Regel déi fir déi original Adress geschriwwe gouf ni.

Kontrolléiert d’Adress déi d’Destinatioun no der Iwwersetzung wierklech gesäit, an de Réckwee fir déi Adress amplaz fir dat original Subnetz.

Fall zwee: d’Politik huet et ni erlaabt

De Géigefall ass méi einfach a méi heefeg wéi et ausgesäit: ee Büro soll e zentrale Service benotzen an ni Verbindungen an d’Zentrum ufänken. Dee Symmetrìesmangel ass eng bewosst Zougangsentscheedung, an den Tunnel funktionnéiert wéi designéiert. Liest d’Zougangspolitik ier dir eng Tunnelastellung ännert. D’Dokument, net de Pakkecapture, seet wéi eng Richtung gemengt war. E Capture ka just weisen wat geschitt ass, net wat erlaabt war.

Wann eng zweedirektional Initiéierung wierklech néideg ass, füügt d’Erlaabnis fir dee spezifesche Service iwwer dee vu der Plattform ënnerstëtzte Reegelsaz derbäi. All Subnetz géigesäiteg ze vertraen fir eng Applikatioun ze reparéieren mécht aus enger enker Fuerderung eng breed Erlaabnis, an deen Tausch gëtt duerno selten iwwerpréift.

Vergläicht virun a no op deene selwechten Hosten

Kuckt béid Enner vum selwechte Versuch, net zwee getrennte Versich. Maacht Capture op der Paart vum Host deen ufänkt an op der Destinatioun, a vergläicht dann wat eran, wat eraus gaangen ass a wéi eng Adress déi wäit Säit gesinn huet.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Wann de Capture op der Destinatioun d’Ufro mat enger onerwaarter Quelladress weist, läit d’Äntwert an der Iwwersetzung oder am Routing, net an der Sécherheetspolitik vum Tunnel. Wann d’Destinatioun guer keng Ufro weist, huet de Pak dee geschützte Wee ni iwwerquiert.

No enger Korrektur widderholt dee selwechten Test vum selwechten Host a bestätegt datt onverbonnen Zougang nach ëmmer verwäigert gëtt. En Tunnelstatus “established” ënnerstëtzt eleng keng vun den zwee Schlussfolgerungen.