Kodėl vienas VPN išteklius veikia, o kitas baigiasi laiku

Viena privati paslauga įkeliama per tunelį, o kita baigiasi laiku, ir kyla pagunda perstatyti visą kliento profilį. Veikianti paslauga naudingesnė kaip kontrolė nei kaip priežastis pradėti iš naujo. Ji įrodo, kad vienas tikslas, vienas prievadas ir vienas autorizacijos kelias buvo patenkinti, ir nieko daugiau.

Dvi paslaugas tame pačiame šliuze galima pasiekti per skirtingas adresų šeimas, skirtingus potinklius ir skirtingą politiką.

Atskirkite veikiantį srautą nuo nepavykstančio

Kiekvieną paslaugą traktuokite kaip savo srautą, o ne kaip VPN simptomą. Iliustracinis klientas gali atidaryti portal.corp.example adresu 172.20.4.15:443 ir vis tiek nepasiekti duomenų bazės adresu 172.20.9.40:5432, nes tai du tikslai su dviem taisyklių rinkiniais. Užrašykite abi eilutes prieš ką nors keisdami, įskaitant prievadą ir protokolą, nes taisyklė, leidžianti TCP 443 viename hoste, nieko nesako apie TCP 5432 tame pačiame hoste.

Tirti reikia nepavykstančią eilutę. Veikianti eilutė tik parodo, kur yra bazinė linija, ir ji bus palyginimo taškas po kiekvieno pakeitimo.

Palyginkite adresus prieš palygindami vardus

Išspręskite kiekvieną pilną vardą pagal politiką, kurią programa iš tikrųjų naudoja, tada užrašykite pasirinktą adresų šeimą. Vienas vardas gali grąžinti IPv6 adresą, o kitas – IPv4, ir senas podėlyje esantis atsakymas gali nusiųsti užklausą į viešą adresą, neturintį nieko bendra su privata paslauga.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Paieška atsako į siaurą klausimą: kokį maršrutą šis hostas pasirinktų tam tikslui, atsižvelgiant į dabartines lenteles ir politikos taisykles. Maršrutas į 172.20.4.0/24 neapima 172.20.9.0/24, o antras tinklo valdytojas arba tikslesnis vietinis maršrutas gali tyliai apeiti tunelį. Pakartokite paiešką vardų erdvėje arba su žyme, kurią naudoja programa, kai jos skiriasi nuo jūsų apvalkalo. Užrašykite ir sąsają, kuria paketas išeina, nes maršrutų lentelė gali įvardyti vieną sąsają, o politikos pagrindu veikiantis maršrutizavimas siunčia srautą per kitą.

Atitinkantis maršrutas yra būtina sąlyga, o ne leidimas. Jis pasako, kad paketas turi kur eiti, ir nieko apie tai, ar ugniasienė, autorizacijos tarnyba ar pats hostas jį priims.

Protokolas ir atsakymo etapas parodo, kur jis sustoja

Atsakymas į ping neįrodo, kad duomenų bazės prievadas atidarytas, o sėkmingas HTTPS puslapis neautorizuoja failų bendrinimo tame pačiame kompiuteryje. Užrašykite, kas iš tikrųjų grįžo, o ne išlyginkite kiekvieną nesėkmę į vieną kategoriją. Laiko limitas, atstatymas, TLS tapatybės klaida ir programos lygio atmetimas kiekvienas nurodo skirtingą sluoksnį.

Skirtumas svarbus, nes pataisos išsiskiria. Tyla paprastai reiškia maršruto, ugniasienės ar vertimo problemą kelyje. Momentinis atstatymas rodo, kad kažkas pasiekė hostą ir atmetė prievadą. Sertifikato klaida reiškia, kad ryšys atėjo, o vardas nesutapo, ir tai konfigūracijos, o ne pasiekiamumo problema. Programos atmetimas reiškia, kad tinklas atliko savo darbą, o tapatybė buvo atmesta vėliau.

Kai išteklius skelbiamas per šliuzą, palyginkite šaltinio adresą, kurį mato tikslas, su šaltiniu, kurį jūsų klientas mano naudojantis. Užklausa, kilusi iš paties šliuzo, gali pavykti, o ta pati užklausa iš kliento nepavyksta, nes abi ateina iš skirtingų adresų ir susiduria su skirtingomis taisyklėmis.

Pakeiskite vieną kintamąjį ir paleiskite abi užklausas iš naujo

Tapatybė yra paskutinė vieta, kur žmonės žiūri, ir pirmoji, kur pasirodo teisingas atmetimas. VPN prisijungimas, katalogo grupė ir programos paskyra yra trys atskiros tapatybės, kurios gali išsiskirti. Prieiga prie portalo niekada nereiškia prieigos prie už jo esančios duomenų bazės, o vardas viename kataloge nesukuria eilutės kitame. Jei paslauga yra už numatytos vartotojo srities, atmetimas yra sistema, kuri veikia.

Paprašykite ištekliaus savininko patvirtinti numatytą teisę, o ne pridėti platų maršrutą ar atidaryti grupę kaip testą. Tinklo platinimas teiginiui įrodyti yra kelias, kuriuo laikina diagnostika tampa nuolatine ekspozicija, ir jis sunaikina kontrolę, su kuria pradėjote. Vieno įrodyto neatitikimo per iteraciją pakanka: trūkstamas maršrutas, neteisinga adresų šeima, užblokuotas prievadas ar trūkstama grupės narystė.

Po kiekvieno pakeitimo pakartokite abi užklausas ir laikykite išvestis greta. Tyrimas baigiasi, kai nepavykstanti paslauga veikia pagal savo politiką, o veikianti paslauga ir atmetimai, kurių dar tikitės, elgiasi lygiai taip pat kaip anksčiau.