VPN помеѓу локации работи само во една насока: два различни дефекта

Локацијата A стигнува до B, B не може да стигне до A, а тунелот изгледа исправно во двете насоки. Пред да го допрете тунелот, определете кој дефект навистина го имате. Нова врска започната на B што се одбива и одговор на врска започната на A што никогаш не пристигнува даваат слични поплаки и сосема различни дијагнози. Едното е проблем со политика или рута на патот; другото е проблем со повратниот пат или состојбата за сообраќај што веќе бил дозволен.

Оваа разлика одлучува кои наредби вреди да се извршат.

Два дефекта што изгледаат идентично

Во првиот случај домаќинот на B испраќа SYN до A и ништо не се враќа. Во вториот домаќинот на A успешно отвора сесија и одговорот исчезнува на повратниот пат. Двата корисници велат дека врската е еднонасочна и двајцата опишуваат пакет што исчезнал, па самиот опис не може да ги раздели.

Прашајте која страна го започнала неуспешниот обид. Тој единствен факт отстранува половина од можните причини.

Потоа проверете дека тестот ги користел истите домаќини и истиот сервис цело време. Ping од едната страна и врска до споделена папка од другата тестираат две различни нешта, а дијагностика од портата може да избере адреса на тунел што не ја користи ниту еден кориснички сообраќај.

Прв случај: повратниот пат недостасува

Оддалечен сервер што одговара преку друга стандардна порта може да го прими барањето и да го насочи одговорот на друго место. Тогаш заштитните ѕидови што ја следат состојбата го отфрлаат асиметричниот одговор, бидејќи не се совпаѓа со воспоставен тек, што изгледа токму како насока што никогаш не работела. Преводот додава уште една варијанта: целта гледа преведен извор и одговара на него, па правилото напишано за оригиналната адреса никогаш не се совпаѓа.

Проверете ја адресата што целта навистина ја гледа по преводот и повратната рута за таа адреса наместо за оригиналната подмрежа.

Втор случај: политиката никогаш не го дозволила

Спротивниот случај е поедноставен и почест отколку што изгледа: една канцеларија треба да користи централен сервис и никогаш да не започнува врски кон центарот. Таа асиметрија е намерна одлука за пристап и тунелот работи како што е проектиран. Прочитајте ја политиката за пристап пред да смените било какво поставување на тунелот. Која насока била наменета го кажува документот, а не снимањето пакети. Снимањето може да покаже само што се случило, не што било дозволено.

Ако двонасочниот почеток навистина е потребен, додајте ја дозволата за конкретниот сервис преку поддржаниот сет правила на платформата. Правењето на секоја подмрежа меѓусебно доверлива за да се поправи една апликација го претвора тесното барање во широко дозволување и таа размена ретко се прегледува подоцна.

Споредете пред и потоа на истите домаќини

Гледајте ги двата краја на истиот обид, а не два одделни обиди. Снимете на портата на домаќинот што започнува и на целта, потоа споредете што влегло, што излегло и која адреса ја видел далечниот крај.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Ако снимањето на целта го покажува барањето со неочекувана изворна адреса, одговорот е во преводот или рутирањето, а не во безбедносната политика на тунелот. Ако целта воопшто не покажува барање, пакетот никогаш не го поминал заштитениот пат.

По исправката повторете го истиот тест од истиот домаќин и потврдете дека неповрзаниот пристап останува одбиен. Статусот на тунелот “established” сам по себе не поддржува ниту еден од двата заклучоци.