Kāpēc viens VPN resurss strādā, bet otrs beidzas ar taimautu

Viens privāts pakalpojums ielādējas caur tuneli, bet nākamais beidzas ar taimautu, un kārdinājums ir pārbūvēt visu klienta profilu. Strādājošais pakalpojums ir noderīgāks kā kontrole nekā kā iemesls sākt no jauna. Tas pierāda, ka viens galamērķis, viens ports un viens autorizācijas ceļš tika izpildīti, un nekas vairāk.

Divi pakalpojumi vienā vārtejā ir sasniedzami caur dažādām adrešu saimēm, dažādiem apakštīkliem un dažādu politiku.

Atdaliet strādājošo plūsmu no neveiksmīgās

Uzskatiet katru pakalpojumu kā savu plūsmu, nevis kā VPN simptomu. Ilustratīvs klients var atvērt portal.corp.example adresē 172.20.4.15:443 un tomēr neaizsniegt datubāzi adresē 172.20.9.40:5432, jo tie ir divi galamērķi ar diviem noteikumu kopumiem. Pierakstiet abas rindas pirms kaut ko mainīt, ieskaitot portu un protokolu, jo noteikums, kas atļauj TCP 443 uz vienu resursdatoru, neko nepasaka par TCP 5432 uz tā paša resursdatora.

Izmeklējama ir neveiksmīgā rinda. Strādājošā rinda tikai parāda, kur atrodas bāzes līnija, un tā būs salīdzināšanas punkts pēc katras izmaiņas.

Salīdziniet adreses pirms nosaukumu salīdzināšanas

Atrisiniet katru pilno nosaukumu ar politiku, ko lietojumprogramma faktiski izmanto, pēc tam pierakstiet izvēlēto adrešu saimi. Viens nosaukums var atgriezt IPv6 adresi, bet cits — IPv4, un veca kešatmiņā saglabāta atbilde var nosūtīt pieprasījumu uz publisku adresi, kam nav nekāda sakara ar privāto pakalpojumu.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Meklēšana atbild uz šauru jautājumu: kuru maršrutu šis resursdators izvēlētos šim galamērķim, ņemot vērā pašreizējās tabulas un politikas noteikumus. Maršruts uz 172.20.4.0/24 neaptver 172.20.9.0/24, un otrs tīkla pārvaldnieks vai precīzāks lokālais maršruts var klusi apiet tuneli. Atkārtojiet meklēšanu nosaukumu telpā vai ar atzīmi, ko izmanto lietojumprogramma, ja tās atšķiras no jūsu čaulas. Pierakstiet arī saskarni, pa kuru pakete iziet, jo maršrutu tabula var nosaukt vienu saskarni, bet politikas balstīta maršrutēšana sūta plūsmu pa citu.

Atbilstošs maršruts ir nepieciešams nosacījums, nevis atļauja. Tas pasaka, ka paketei ir kur iet, un neko par to, vai ugunsmūris, autorizācijas pakalpojums vai pats resursdators to pieņems.

Protokols un atbildes posms parāda, kur tas apstājas

Atbilde uz ping nepierāda, ka datubāzes ports ir atvērts, un veiksmīga HTTPS lapa neautorizē failu koplietošanu tajā pašā mašīnā. Pierakstiet, kas faktiski atgriezās, nevis izlīdziniet katru neveiksmi vienā kategorijā. Taimauts, atiestatīšana, TLS identitātes kļūda un lietojumprogrammas līmeņa noraidījums katrs norāda uz citu slāni.

Atšķirība ir svarīga, jo labojumi atšķiras. Klusums parasti nozīmē maršruta, ugunsmūra vai tulkošanas problēmu ceļā. Tūlītēja atiestatīšana liek domāt, ka kaut kas sasniedza resursdatoru un noraidīja portu. Sertifikāta kļūda nozīmē, ka savienojums ieradās un nosaukums neatbilda, un tā ir konfigurācijas, nevis sasniedzamības problēma. Lietojumprogrammas noraidījums nozīmē, ka tīkls izdarīja savu darbu, un identitāte tika noraidīta pēc tam.

Kad resurss tiek publicēts caur vārteju, salīdziniet avota adresi, ko redz galamērķis, ar avotu, ko jūsu klients domā, ka izmanto. Pieprasījums, kas nāk no pašas vārtejas, var izdoties, bet tas pats pieprasījums no klienta neizdodas, jo abi nāk no dažādām adresēm un sastopas ar dažādiem noteikumiem.

Mainiet vienu mainīgo un palaidiet abus pieprasījumus vēlreiz

Identitāte ir pēdējā vieta, kur cilvēki skatās, un pirmā, kur parādās pareizs noraidījums. VPN pieteikšanās, direktorija grupa un lietojumprogrammas konts ir trīs atsevišķas identitātes, kas var atšķirties. Piekļuve portālam nekad nenozīmē piekļuvi datubāzei aiz tā, un nosaukums vienā direktorijā nerada rindu citā. Ja pakalpojums atrodas ārpus lietotāja paredzētās jomas, noraidījums ir sistēma, kas strādā.

Lūdziet resursa īpašniekam apstiprināt paredzētās tiesības, nevis pievienot plašu maršrutu vai atvērt grupu kā testu. Tīkla paplašināšana, lai pierādītu apgalvojumu, ir ceļš, kā pagaidu diagnostika kļūst par pastāvīgu pakļautību, un tas iznīcina kontroli, ar kuru sākāt. Viens pierādīts neatbilstība katrā iterācijā ir pietiekama: trūkstošs maršruts, nepareiza adrešu saime, bloķēts ports vai trūkstoša grupas dalība.

Pēc katras izmaiņas atkārtojiet abus pieprasījumus un turiet izvades līdzās. Izmeklēšana beidzas, kad neveiksmīgais pakalpojums strādā saskaņā ar savu politiku, bet strādājošais pakalpojums un noraidījumi, ko joprojām gaidāt, uzvedas tieši tāpat kā iepriekš.