TCP darbojas, bet UDP sasniedz citu serveri tajā pašā portā

Profils darbojas pa TCP un neizdodas pa UDP ar sertifikāta brīdinājumu. Intuitīvā lasīšana ir tāda, ka UDP ceļš salauza uzticību, un intuitīvais labojums ir pieņemt sertifikātu. Abi pieņēmumi izlaiž iespēju, kas pilnībā izskaidro simptomu: abi transporti sasniedza dažādas mašīnas. Pārsūtīšanas noteikums tiek saskaņots pa protokoliem, un nekas neuzspiež viena porta numura TCP un UDP pusēm norādīt uz vienu un to pašu resursdatoru.

Viens porta numurs, divi neatkarīgi noteikumi

Pārsūtīšana ir tabulas meklēšana pēc protokola, galamērķa adreses un porta. Vārteja ar noteikumu TCP 1194 un noteikumu UDP 1194 izsaka divus neatkarīgus lēmumus, un tie var nosaukt dažādus iekšējos resursdatorus. Kopīgais numurs ir ērtība cilvēkiem, nevis īpašība, ko tīkls uzspiež. Uztveriet porta numuru kā apzīmējumu, nevis kā pakalpojuma definīciju.

Skatieties uz faktiskajiem noteikumiem, nevis iecerētajiem. Galamērķa adrese, tulkotais ports un ienākošā saskarne piedalās visi, un no agrākas migrācijas palicis noteikums ir ierastais iemesls, kāpēc abas puses nesaskan.

Pierakstiet abus kartējumus, pirms maināt ko citu. Līniju pāris ir visa hipotēze.

Ko klients faktiski pārbaudīja

Rokasspiediena laikā klients pārbauda sertifikātu pret konfigurēto uzticību un pret gaidīto nosaukumu. Negaidīts sertifikāts ir veiksmīga pārbaude, kas neizturēja identitātes kontroli, un tas ir pareizais iznākums, kad pretējā puse nav tā, kuru gribējāt sasniegt. Tā noraidīšana pierāda, ka klients strādā, nevis to, ka transports ir salūzis. Lasiet norādīto nosaukumu pirms norādītās ķēdes, jo nosaukums ir tas, ko klients salīdzināja.

Atšķirība ir svarīga, jo abas kļūdas ved pie dažādiem labojumiem. Uzticības problēmai vajag uzticības labojumu, savukārt negaidītai pretējai pusei vajag maršrutēšanas vai pārsūtīšanas labojumu.

Pierakstiet, kādu identitāti klients norādīja. Šis nosaukums ir spēcīgākā norāde par to, kura mašīna atbildēja.

Saistiet mēģinājumu ar serveri

Pierakstiet profilu, publisko adresi, transportu un portu, ko klients izmantoja. Pēc tam salīdziniet mēģinājuma laiku ar tā servera žurnālu, kuru gribējāt sasniegt. Tā neesamība ir pavediens, nevis pierādījums, ka ugunsmūris nometa paketi, jo reģistrēšanas līmeņi atšķiras starp izvietojumiem. Laika zīmogs kopā ar avota adresi ierobežo vairāk nekā jebkurš no tiem atsevišķi.

Salīdziniet sastapto sertifikāta identitāti ar gaidīto identitāti administratīvā kanālā. Tieši šis salīdzinājums ārpus kanāla uztur pārbaudi uzticamu.

Pārbaudiet vecos pārsūtīšanas noteikumus, alternatīvos klausītājus un jebkuru slodzes sadales ceļu, pirms secināt, ka abi transporti dala aizmuguri. Katrs no tiem var novirzīt plūsmu, neaizskarot otru transportu.

Nepielāgojiet uzticību nepareizai pretējai pusei

Negaidītā CA importēšana liek simptomam pazust un maina to, kam klients uzticas. Tas ir sliktāks stāvoklis nekā neizdevies savienojums, jo slēpj neatbilstību, tā vietā lai to atrisinātu. Tas pats attiecas uz pārbaudes izslēgšanu tikai tāpēc, lai redzētu, vai tunelis paceļas.

Ja pretējā puse izrādās likumīga, bet nevēlama, pareizā darbība ir to izņemt no ekspluatācijas vai vērst noteikumu uz pareizo resursdatoru. Uzticības krātuve nav vieta, kur saskaņot inventāra kļūdu.

Saglabājiet noraidījuma tekstu. Tas ir vienīgais ieraksts par to, ko klients redzēja.

Pēc labojuma pārbaudiet jaunu plūsmu

Izlabojiet kartējumu un pēc tam pieslēdzieties ar jaunu klienta sesiju. Stāvokļa tulkošana var noturēt esošo plūsmu pie vecā galamērķa, tāpēc izveidots savienojums var pārdzīvot izmaiņas un jūs maldināt. Sāciet jaunu un apstipriniet paredzētā servera žurnālā, ka tas apstrādāja mēģinājumu.

Ja abi transporti pierādāmi sasniedz vienu serveri un joprojām uzvedas atšķirīgi, atlikušā atšķirība ir šī servera paša klausītāji un konfigurācija. Transportu salīdzinājumam ir nozīme tikai tad, kad galapunkta identitāte ir noteikta.