Mengapa satu sumber VPN berfungsi dan satu lagi tamat masa

Satu perkhidmatan peribadi dimuatkan melalui terowong dan yang seterusnya tamat masa, dan godaannya ialah membina semula keseluruhan profil klien. Perkhidmatan yang berfungsi lebih berguna sebagai kawalan daripada sebagai sebab untuk bermula dari awal. Ia membuktikan bahawa satu destinasi, satu port dan satu laluan kebenaran telah dipenuhi, dan tidak lebih daripada itu.

Dua perkhidmatan pada gateway yang sama boleh dicapai melalui keluarga alamat yang berbeza, subnet yang berbeza dan dasar yang berbeza.

Asingkan aliran yang berfungsi daripada yang gagal

Layan setiap perkhidmatan sebagai alirannya sendiri, bukan sebagai gejala VPN. Klien ilustratif boleh membuka portal.corp.example di 172.20.4.15:443 dan masih gagal mencapai pangkalan data di 172.20.9.40:5432, kerana kedua-duanya ialah dua destinasi dengan dua set peraturan. Catat kedua-dua baris sebelum mengubah apa-apa, termasuk port dan protokol, kerana peraturan yang membenarkan TCP 443 pada satu hos tidak mengatakan apa-apa tentang TCP 5432 pada hos yang sama.

Baris yang gagal ialah yang perlu disiasat. Baris yang berfungsi hanya memberitahu di mana garis dasar, dan ia akan menjadi titik perbandingan selepas setiap perubahan.

Bandingkan alamat sebelum membandingkan nama

Selesaikan setiap nama penuh melalui dasar yang benar-benar digunakan oleh aplikasi, kemudian catat keluarga alamat yang dipilihnya. Satu nama boleh memulangkan alamat IPv6 manakala yang lain memulangkan IPv4, dan jawapan lama dalam cache boleh menghantar permintaan ke alamat awam yang tiada kaitan dengan perkhidmatan peribadi.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Carian itu menjawab soalan sempit: laluan mana yang akan dipilih oleh hos ini untuk destinasi itu, berdasarkan jadual dan peraturan dasar semasa. Laluan untuk 172.20.4.0/24 tidak meliputi 172.20.9.0/24, dan pengurus rangkaian kedua atau laluan tempatan dengan kekhususan lebih baik boleh mengatasi terowong secara senyap. Ulang carian di dalam ruang nama atau dengan tanda yang digunakan aplikasi apabila ia berbeza daripada shell anda. Catat juga antara muka tempat paket keluar, kerana jadual laluan boleh menamakan satu antara muka manakala penghalaan dasar menghantar aliran keluar melalui yang lain.

Laluan yang sepadan ialah syarat perlu, bukan kebenaran. Ia memberitahu bahawa paket mempunyai tempat untuk pergi dan tiada apa-apa tentang sama ada firewall, perkhidmatan kebenaran atau hos itu sendiri akan menerimanya.

Protokol dan peringkat respons memberitahu di mana ia berhenti

Balasan ping tidak membuktikan bahawa port pangkalan data terbuka, dan halaman HTTPS yang berjaya tidak membenarkan perkongsian fail pada mesin yang sama. Catat apa yang benar-benar kembali dan bukan meratakan setiap kegagalan ke dalam satu kategori. Tamat masa, set semula, ralat identiti TLS dan penolakan peringkat aplikasi masing-masing menunjuk kepada lapisan yang berbeza.

Perbezaannya penting kerana pembetulan menyimpang. Ketenangan biasanya bermaksud masalah laluan, firewall atau terjemahan di laluan. Set semula segera mencadangkan sesuatu telah mencapai hos dan menolak port. Ralat sijil bermaksud sambungan tiba dan nama tidak sepadan, yang merupakan masalah konfigurasi dan bukan masalah ketersampaian. Penolakan aplikasi bermaksud rangkaian telah melakukan tugasnya dan identiti ditolak selepas itu.

Apabila sumber diterbitkan melalui gateway, bandingkan alamat sumber yang dilihat oleh destinasi dengan sumber yang klien anda percaya ia gunakan. Permintaan yang berasal dari gateway itu sendiri boleh berjaya manakala permintaan yang sama daripada klien gagal, kerana kedua-duanya datang dari alamat berbeza dan bertemu peraturan berbeza.

Ubah satu pemboleh ubah dan jalankan semula kedua-dua permintaan

Identiti ialah tempat terakhir orang melihat dan tempat pertama penolakan yang betul muncul. Log masuk VPN, kumpulan direktori dan akaun aplikasi ialah tiga identiti berasingan yang boleh menyimpang. Akses ke portal tidak pernah membayangkan akses ke pangkalan data di belakangnya, dan nama dalam satu direktori tidak mencipta baris dalam yang lain. Jika perkhidmatan berada di luar skop yang dimaksudkan pengguna, penolakan itulah sistem yang berfungsi.

Minta pemilik sumber mengesahkan hak yang dimaksudkan dan bukannya menambah laluan luas atau membuka kumpulan sebagai ujian. Meluaskan rangkaian untuk membuktikan sesuatu perkara ialah cara diagnosis sementara menjadi pendedahan kekal, dan ia memusnahkan kawalan yang anda mulakan. Satu ketidakpadanan yang terbukti setiap lelaran sudah cukup: laluan yang hilang, keluarga alamat yang salah, port yang disekat atau keahlian kumpulan yang hilang.

Selepas setiap perubahan, ulang kedua-dua permintaan dan simpan output bersebelahan. Siasatan berakhir apabila perkhidmatan yang gagal berfungsi di bawah dasarnya sendiri manakala perkhidmatan yang berfungsi dan penolakan yang masih anda jangkakan berkelakuan tepat seperti sebelumnya.