Сайт хоорондын VPN зөвхөн нэг чиглэлд ажиллаж байна: хоёр өөр гэмтэл
Хэзээ ч буцаж ирдэггүй хариу болон татгалзсан холболт нь хоёр өөр гэмтэл юм. Бодлого, чиглүүлэлт болон сервер үнэхээр харж буй эх сурвалжийн хаягийг харьцуулна уу.
A сайт B-д хүрдэг, B нь A-д хүрч чадахгүй, харин туннель хоёр чиглэлд хэвийн харагдаж байна. Туннельд хүрэхээс өмнө танд үнэхээр ямар гэмтэл байгааг тодорхойл. B дээр эхэлсэн боловч татгалзсан шинэ холболт болон A дээр эхэлсэн холболтын хэзээ ч ирдэггүй хариу нь ижил төстэй гомдол, огт өөр оношлогоо үүсгэдэг. Нэг нь зам дээрх бодлого эсвэл маршрутын асуудал; нөгөө нь аль хэдийн зөвшөөрөгдсөн трафикийн буцах зам эсвэл төлөвийн асуудал.
Энэ ялгаа нь аль тушаалыг ажиллуулах нь үнэ цэнэтэйг тодорхойлно.
Ижил харагдах хоёр гэмтэл
Эхний тохиолдолд B-ийн хост A руу SYN илгээхэд юу ч буцаж ирэхгүй. Хоёр дахьд A-ийн хост сессийг амжилттай нээж, хариу нь буцах замд алга болно. Хоёр хэрэглэгч холболтыг нэг чиглэлтэй гэж хэлж, хоёулаа алга болсон пакетыг дүрсэлдэг тул зөвхөн дүрслэл тэднийг ялгаж чадахгүй.
Амжилтгүй оролдлогыг аль тал эхлүүлснийг асуу. Энэ ганц баримт боломжит шалтгааны талыг арилгана.
Дараа нь туршилт эхнээс эцэс хүртэл ижил хост, ижил үйлчилгээг ашигласан эсэхийг шалга. Нэг талаас ping, нөгөө талаас файл хуваалцах холболт нь хоёр өөр зүйлийг шалгадаг бөгөөд гарцаас хийсэн оношлогоо нь ямар ч хэрэглэгчийн урсгал ашигладаггүй туннелийн хаягийг сонгож болно.
Эхний тохиолдол: буцах зам байхгүй
Өөр өгөгдмөл гарцаар хариулдаг алсын сервер хүсэлтийг хүлээж аваад хариуг өөр тийш чиглүүлж болно. Тэгэхэд төлөв хянадаг галт хананууд тэгш бус хариуг хаядаг, учир нь тэр тогтсон урсгалтай тохирохгүй бөгөөд энэ нь хэзээ ч ажиллаагүй чиглэл шиг харагдана. Орчуулга өөр нэг хувилбар нэмдэг: очих газар орчуулсан эх сурвалжийг харж түүнд хариулдаг тул анхны хаягт зориулж бичсэн дүрэм хэзээ ч тохирохгүй.
Орчуулгын дараа очих газар үнэхээр харж буй хаяг болон буцах маршрутыг анхны дэд сүлжээний оронд тэр хаягт зориулж шалга.
Хоёр дахь тохиолдол: бодлого хэзээ ч зөвшөөрөөгүй
Эсрэг тохиолдол харагдахаас илүү энгийн бөгөөд түгээмэл: нэг оффис төв үйлчилгээг хэрэглэх ёстой бөгөөд төв рүү хэзээ ч холболт эхлүүлэх ёсгүй. Тэр тэгш бус байдал нь зориудын хандалтын шийдвэр бөгөөд туннель зохион бүтээсэн ёсоор ажиллаж байна. Туннелийн аль ч тохиргоог өөрчлөхөөс өмнө хандалтын бодлогыг унш. Аль чиглэлийг зорьсныг баримт бичиг хэлнэ, пакет бичлэг биш. Бичлэг зөвхөн юу болсныг харуулж чадна, юунд зөвшөөрөл өгснийг биш.
Хэрэв хоёр чиглэлт эхлэл үнэхээр шаардлагатай бол платформын дэмждэг дүрмийн багцаар дамжуулан тухайн үйлчилгээний зөвшөөрлийг нэм. Нэг програмыг засахын тулд бүх дэд сүлжээг харилцан итгэмжлэлтэй болгох нь нарийн шаардлагыг өргөн зөвшөөрөл болгож хувиргадаг бөгөөд тэр солилцоог дараа нь ховор хянадаг.
Ижил хост дээр өмнөх болон дараах байдлыг харьцуул
Хоёр тусдаа оролдлогыг биш, нэг оролдлогын хоёр үзүүрийг ажигла. Эхлүүлж буй хотын гарц болон очих газарт бичлэг хий, дараа нь юу орж, юу гарч, алсын тал ямар хаяг харсныг харьцуул.
tcpdump -ni any host 10.20.30.40 and port 445 conntrack -L | grep 10.20.30.40 ip route get 10.20.30.40 swanctl --list-sas
Хэрэв очих газрын бичлэг хүсэлтийг гэнэтийн эх сурвалжийн хаягтай харуулж байвал хариу нь орчуулга эсвэл чиглүүлэлтэд байгаа бөгөөд туннелийн аюулгүй байдлын бодлогод биш. Хэрэв очих газар хүсэлт огт харуулахгүй бол пакет хамгаалагдсан замаар хэзээ ч гараагүй.
Засварын дараа ижил хостноос ижил туршилтыг давтаж, холбоогүй хандалт хараахан татгалзагдаж байгааг батал. “established” туннелийн төлөв нь хоёр дүгнэлтийн алийг нь ч дангаараа дэмжихгүй.