TCP работи, а UDP на истиот порт стигнува до друг сервер

Профил работи преку TCP и не успева преку UDP со предупредување за сертификатот. Интуитивното читање е дека UDP патеката ја прекина довербата, а интуитивниот исправка е да се прифати сертификатот. Двете претпоставки прескокнуваат можност што целосно го објаснува симптомот: двата преноса стигнаа до различни машини. Правилото за проследување се совпаѓа по протокол и ништо не ги присилува TCP и UDP половините од еден број на порта да покажуваат на истиот домаќин.

Еден број на порта, две независни правила

Проследувањето е пребарување во табела по протокол, одредишна адреса и порта. Премин со правило за TCP 1194 и правило за UDP 1194 изразува две независни одлуки, а тие можат да именуваат различни внатрешни домаќини. Заедничкиот број е погодност за луѓето, а не својство што мрежата го наметнува. Третирајте го бројот на портата како ознака, а не како дефиниција на услуга.

Гледајте ги важечките правила, а не намерните. Одредишната адреса, преведената порта и влезниот интерфејс сите учествуваат, а правило оставено од претходна миграција е вообичаената причина двете половини да не се совпаѓаат.

Запишете ги двете пресликувања пред да промените нешто друго. Парот редови е целата хипотеза.

Што клиентот навистина провери

За време на ракувањето клиентот го проверува сертификатот спрема конфигурираната доверба и спрема името што го очекува. Неочекуван сертификат е успешна проверка што не ја помина проверката на идентитетот, и тоа е исправниот исход кога другата страна не е онаа што сте сакале да ја достигнете. Неговото одбивање е доказ дека клиентот работи, а не дека преносот е расипан. Читајте го пријавеното име пред пријавениот ланец, зашто името е она што клиентот го спореди.

Разликата е важна зашто двете грешки водат кон различни исправки. Проблем со доверба бара исправка на довербата, додека неочекувана страна бара исправка на рутирањето или проследувањето.

Забележете кој идентитет го пријавил клиентот. Тоа име е најсилниот траг за тоа која машина одговорила.

Поврзете го обидот со сервер

Забележете го профилот, јавната адреса, преносот и портата што ги користел клиентот. Потоа споредете го времето на обидот со записот на серверот што сте сакале да го достигнете. Неговото отсуство е трага, а не доказ дека огнениот ѕид го отфрлил пакетот, зашто нивоата на евидентирање се разликуваат меѓу инсталациите. Временската ознака заедно со изворната адреса го стеснува повеќе од која било од нив сама.

Споредете го идентитетот на сертификатот на кој наидовте со очекуваниот идентитет преку административен канал. Токму таа споредба надвор од каналот ја одржува проверката веродостојна.

Проверете стари правила за проследување, алтернативни слушачи и секоја патека за рамнотежа на оптоварувањето пред да заклучите дека двата преноса делат заднина. Секое од нив може да го пренасочи текот без да го допре другиот пренос.

Не прилагодувајте ја довербата на погрешна страна

Увозот на неочекуваниот CA прави симптомот да исчезне и го менува тоа кому клиентот му верува. Тоа е полоша состојба од неуспешна врска, зашто го крие несогласувањето наместо да го реши. Истото важи за исклучување на проверката само за да се види дали тунелот ќе се крене.

Ако страната се покаже легитимна, но ненамерна, исправниот чекор е да се повлече или правилото да се насочи кон правилниот домаќин. Складиштето за доверба не е место за усогласување на грешка во инвентарот.

Зачувајте го текстот на одбивањето. Тој е единствениот запис за тоа што видел клиентот.

По исправката испробајте нов тек

Исправете го пресликувањето и потоа поврзете се со нова клиентска сесија. Преводот со состојба може да го задржи постоечкиот тек на старото одредиште, па воспоставената врска може да ја преживее промената и да ве заведе. Започнете нова и потврдете во записот на предвидениот сервер дека го обработил обидот.

Ако двата преноса докажливо стигнуваат до истиот сервер и сепак се однесуваат различно, преостанатата разлика се сопствените слушачи и конфигурацијата на тој сервер. Споредбата на преносите има смисла дури кога идентитетот на крајната точка е утврден.