VPN tapak-ke-tapak hanya berfungsi satu hala: dua kerosakan berbeza

Tapak A sampai ke B, B tidak dapat sampai ke A, dan terowong kelihatan baik dalam kedua-dua arah. Sebelum menyentuh terowong, tentukan kerosakan mana yang sebenarnya anda hadapi. Sambungan baharu yang dimulakan di B dan ditolak, serta balasan kepada sambungan yang dimulakan di A yang tidak pernah tiba, menghasilkan aduan yang serupa dan diagnosis yang sama sekali berbeza. Satu ialah masalah dasar atau laluan di laluan; satu lagi ialah masalah laluan pulang atau keadaan bagi trafik yang sudah dibenarkan.

Perbezaan inilah yang menentukan arahan mana yang wajar dijalankan.

Dua kerosakan yang kelihatan serupa

Dalam kes pertama hos B menghantar SYN ke A, dan tiada apa yang kembali. Dalam kes kedua hos A berjaya membuka sesi dan balasannya hilang dalam perjalanan pulang. Kedua-dua pengguna berkata pautan itu satu hala, dan kedua-duanya menerangkan paket yang hilang, jadi penerangan sahaja tidak dapat memisahkan mereka.

Tanya pihak mana yang memulakan percubaan yang gagal itu. Satu fakta itu menghapuskan separuh daripada punca yang mungkin.

Kemudian pastikan ujian menggunakan hos dan perkhidmatan yang sama sepanjang masa. Ping dari satu pihak dan sambungan perkongsian fail dari pihak lain menguji dua perkara berbeza, dan diagnostik dari pintu masuk boleh memilih alamat terowong yang tidak digunakan oleh mana-mana trafik pengguna.

Kes satu: laluan pulang tiada

Pelayan jauh yang menjawab melalui pintu masuk lalai yang lain boleh menerima permintaan itu dan menghalakan balasannya ke tempat lain. Kemudian tembok api yang menjejak keadaan menggugurkan balasan tidak simetri itu kerana ia tidak sepadan dengan aliran yang terbentuk, yang kelihatan tepat seperti arah yang tidak pernah berfungsi. Terjemahan menambah satu lagi versi: destinasi melihat sumber yang diterjemahkan dan membalasnya, jadi peraturan yang ditulis untuk alamat asal tidak pernah sepadan.

Periksa alamat yang benar-benar dilihat oleh destinasi selepas terjemahan, dan laluan pulang untuk alamat itu dan bukan untuk subrangkaian asal.

Kes dua: dasar itu tidak pernah membenarkannya

Kes sebaliknya lebih mudah dan lebih biasa daripada kelihatan: satu pejabat sepatutnya menggunakan perkhidmatan pusat dan tidak pernah memulakan sambungan ke pusat. Ketidakseimbangan itu ialah keputusan akses yang disengajakan, dan terowong berfungsi seperti direka. Baca dasar akses sebelum menukar mana-mana tetapan terowong. Dokumen, bukan tangkapan paket, yang menyatakan arah mana yang dimaksudkan. Tangkapan hanya dapat menunjukkan apa yang berlaku, bukan apa yang dibenarkan.

Jika permulaan dua hala benar-benar diperlukan, tambahkan kebenaran perkhidmatan tertentu melalui set peraturan yang disokong oleh platform. Menjadikan setiap subrangkaian saling percaya untuk membaiki satu aplikasi mengubah keperluan sempit menjadi kebenaran luas, dan pertukaran itu jarang disemak semula kemudian.

Bandingkan sebelum dan selepas pada hos yang sama

Perhatikan kedua-dua hujung percubaan yang sama, bukan dua percubaan berasingan. Tangkap di pintu masuk hos yang memulakan dan di destinasi, kemudian bandingkan apa yang masuk, apa yang keluar dan alamat mana yang dilihat oleh pihak jauh.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Jika tangkapan di destinasi menunjukkan permintaan dengan alamat sumber yang tidak dijangka, jawapannya terletak pada terjemahan atau penghalaan, bukan pada dasar keselamatan terowong. Jika destinasi tidak menunjukkan sebarang permintaan, paket itu tidak pernah melintasi laluan yang dilindungi.

Selepas pembetulan, ulangi ujian yang sama dari hos yang sama dan sahkan bahawa akses tidak berkaitan masih ditolak. Status terowong “established” tidak menyokong mana-mana daripada dua kesimpulan itu dengan sendirinya.