TCP veikia, o UDP pasiekia kitą serverį tame pačiame porte

Profilis veikia per TCP ir nepavyksta per UDP su sertifikato įspėjimu. Intuityvus skaitymas yra toks, kad UDP kelias sulaužė pasitikėjimą, o intuityvus pataisymas yra priimti sertifikatą. Abi prielaidos praleidžia galimybę, kuri visiškai paaiškina simptomą: abu transportai pasiekė skirtingas mašinas. Persiuntimo taisyklė sudaroma pagal protokolą, ir niekas neverčia vieno porto numerio TCP ir UDP pusių rodyti į tą patį mazgą.

Vienas porto numeris, dvi nepriklausomos taisyklės

Persiuntimas yra lentelės paieška pagal protokolą, paskirties adresą ir portą. Tinklų sietuvas su taisykle TCP 1194 ir taisykle UDP 1194 išreiškia du nepriklausomus sprendimus, ir jie gali nurodyti skirtingus vidinius mazgus. Bendras numeris yra patogumas žmonėms, o ne savybė, kurią tinklas užtikrina. Traktuokite porto numerį kaip etiketę, o ne kaip paslaugos apibrėžimą.

Žiūrėkite į galiojančias taisykles, o ne į numatytas. Paskirties adresas, išverstas portas ir įeinančioji sąsaja visi dalyvauja, o iš ankstesnės migracijos likusi taisyklė yra įprasta priežastis, kodėl abi pusės nesutampa.

Užrašykite abu susiejimus prieš ką nors kita keisdami. Eilučių pora yra visa hipotezė.

Ką klientas iš tikrųjų patikrino

Rankos paspaudimo metu klientas tikrina sertifikatą pagal sukonfigūruotą pasitikėjimą ir pagal laukiamą pavadinimą. Netikėtas sertifikatas yra sėkmingas patikrinimas, kuris nepraėjo tapatybės kontrolės, ir tai yra teisingas rezultatas, kai priešinė pusė yra ne ta, kurią norėjote pasiekti. Jo atmetimas įrodo, kad klientas veikia, o ne kad transportas sugedęs. Skaitykite nurodytą pavadinimą prieš nurodytą grandinę, nes pavadinimas yra tai, ką klientas palygino.

Skirtumas svarbus, nes abi klaidos veda prie skirtingų pataisymų. Pasitikėjimo problema reikalauja pasitikėjimo pataisymo, o netikėta priešinė pusė reikalauja maršrutizavimo arba persiuntimo pataisymo.

Užsirašykite, kokią tapatybę klientas nurodė. Tas pavadinimas yra stipriausia užuomina, kuri mašina atsakė.

Susiekite bandymą su serveriu

Užrašykite profilį, viešąjį adresą, transportą ir portą, kurį klientas naudojo. Tada sulyginkite bandymo laiką su serverio, kurį norėjote pasiekti, žurnalu. Jo nebuvimas yra užuomina, o ne įrodymas, kad ugniasienė numetė paketą, nes registravimo lygiai skiriasi tarp diegimų. Laiko žyma kartu su šaltinio adresu apriboja labiau nei bet kuris iš jų atskirai.

Palyginkite sutiktą sertifikato tapatybę su laukiama tapatybe administraciniu kanalu. Būtent šis palyginimas už kanalo išlaiko patikrinimą patikimą.

Patikrinkite senas persiuntimo taisykles, alternatyvius klausytojus ir bet kurį apkrovos paskirstymo kelią, prieš darydami išvadą, kad abu transportai dalijasi užnugariu. Kiekvienas jų gali nukreipti srautą nepaliestas kito transporto.

Nepritaikykite pasitikėjimo neteisingai pusei

Netikėto CA importavimas priverčia simptomą išnykti ir pakeičia, kuo klientas pasitiki. Tai blogesnė būsena nei nepavykęs ryšys, nes ji slepia neatitikimą, o ne jį išsprendžia. Tas pats galioja patikrinimo išjungimui vien tam, kad pamatytumėte, ar tunelis pakyla.

Jei priešinė pusė pasirodo esanti teisėta, bet nepageidaujama, teisingas veiksmas yra ją išjungti arba nukreipti taisyklę į tinkamą mazgą. Pasitikėjimo saugykla nėra vieta, kur suderinti inventoriaus klaidą.

Išsaugokite atmetimo tekstą. Tai vienintelis įrašas apie tai, ką klientas matė.

Po pataisymo išbandykite naują srautą

Ištaisykite susiejimą ir tada prisijunkite nauja kliento sesija. Būsenos vertimas gali išlaikyti esamą srautą nukreiptą į seną paskirtį, todėl užmegztas ryšys gali išgyventi pakeitimą ir jus suklaidinti. Pradėkite naują ir patvirtinkite numatyto serverio žurnale, kad jis apdorojo bandymą.

Jei abu transportai įrodomai pasiekia tą patį serverį ir vis tiek elgiasi skirtingai, likęs skirtumas yra to serverio klausytojai ir konfigūracija. Transportų palyginimas ką nors reiškia tik tada, kai galinio taško tapatybė yra nustatyta.