Зошто еден VPN ресурс работи, а друг истекува по време

Една приватна услуга се вчитува низ тунелот, а следната истекува по време, и искушението е целиот клиентски профил да се изгради одново. Работливата услуга е покорисна како контрола отколку како причина да се почне од нула. Таа докажува дека една дестинација, една порта и една патека за авторизација биле задоволени, и ништо повеќе.

Две услуги на истиот портал можат да се достасат преку различни семејства адреси, различни подмрежи и различна политика.

Одвојте го работливиот тек од оној што не успева

Третирајте ја секоја услуга како свој тек, а не како симптом на VPN. Илустративен клиент може да отвори portal.corp.example на 172.20.4.15:443 и сепак да не достаса до база на податоци на 172.20.9.40:5432, бидејќи тоа се две дестинации со две множества правила. Запишете ги двата реда пред да смените нешто, вклучително портата и протоколот, бидејќи правило што дозволува TCP 443 на еден домаќин не кажува ништо за TCP 5432 на истиот домаќин.

Редот што не успева е оној што треба да се истражи. Работливиот ред само кажува каде е основната линија и ќе биде точката за споредба по секоја промена.

Споредете ги адресите пред да ги споредите имињата

Решете го секое цело име преку политиката што апликацијата навистина ја користи, потоа запишете го избраното семејство адреси. Едно име може да врати IPv6 адреса, додека друго враќа IPv4, а стар кеширан одговор може да испрати барање до јавна адреса што нема никаква врска со приватната услуга.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Пребарувањето одговара на тесно прашање: која патека би ја избрал овој домаќин за таа дестинација, со тековните табели и правила на политика. Патеката за 172.20.4.0/24 не покрива 172.20.9.0/24, а втор мрежен менаџер или локална патека со подобра специфичност може тивко да го надвладее тунелот. Повторете го пребарувањето во именскиот простор или со ознаката што ја користи апликацијата кога тие се разликуваат од вашата обвивка. Запишете го и интерфејсот низ кој пакетот излегува, бидејќи табелата со патеки може да наведе еден интерфејс, додека политичкото насочување го испраќа текот низ друг.

Совпаѓачката патека е неопходен услов, а не дозвола. Таа кажува дека пакетот има каде да оди и ништо за тоа дали ќе го прифати огнен ѕид, служба за авторизација или самиот домаќин.

Протоколот и фазата на одговор покажуваат каде запира

Одговорот на ping не докажува дека порта на база на податоци е отворена, а успешна HTTPS страница не авторизира споделување на датотеки на истиот компјутер. Запишете што навистина се врати, наместо секој неуспех да го изедначите во една категорија. Истекување по време, ресетирање, грешка во идентитетот на TLS и одбивање на ниво на апликација секој укажува на различен слој.

Разликата е важна бидејќи корекциите се разидуваат. Тишината обично значи проблем со патека, огнен ѕид или превод на патот. Веднаш ресетирање укажува дека нешто стигнало до домаќинот и ја одбило портата. Грешка во сертификат значи дека врската стигнала, а името не се совпаднало, што е проблем со конфигурација, а не со достапност. Одбивање од апликацијата значи дека мрежата ја завршила работата и идентитетот бил одбиен потоа.

Кога ресурс се објавува преку портал, споредете ја изворната адреса што ја гледа дестинацијата со изворот што вашиот клиент мисли дека го користи. Барање што произлегува од самиот портал може да успее, додека истото барање од клиент не успева, бидејќи двете доаѓаат од различни адреси и се среќаваат со различни правила.

Сменете една променлива и повторно извршете ги двете барања

Идентитетот е последното место каде луѓето гледаат и првото каде се појавува правилно одбивање. Пријавувањето на VPN, групата во директориумот и сметката на апликацијата се три одделни идентитети што можат да се разидат. Пристапот до портал никогаш не подразбира пристап до базата на податоци зад него, а име во еден директориум не создава ред во друг. Ако услугата е надвор од предвидениот опфат на корисникот, одбивањето е системот што работи.

Побарајте од сопственикот на ресурсот да го потврди предвиденото право наместо да додадете широка патека или да отворите група како тест. Проширувањето на мрежата за да се докаже поента е патот по кој привремена дијагностика станува трајна изложеност, и ја уништува контролата со која почнавте. Една докажана неусогласеност по итерација е доволна: патека што недостига, погрешно семејство адреси, блокирана порта или членство во група што недостига.

По секоја промена повторете ги двете барања и држете ги излезите еден до друг. Истрагата завршува кога услугата што не успева работи според сопствената политика, додека работливата услуга и одбивањата што сѐ уште ги очекувате се однесуваат точно како порано.