Għaliex riżors VPN wieħed jaħdem u ieħor jispiċċa fil-ħin

Servizz privat wieħed jitgħabba mit-tunnel u dak li jmiss jispiċċa fil-ħin, u t-tentazzjoni hija li jerġa' jinbena l-profil kollu tal-klijent. Is-servizz li jaħdem huwa aktar utli bħala kontroll milli bħala raġuni biex tibda mill-ġdid. Juriha li destinazzjoni waħda, port wieħed u passaġġ wieħed ta' awtorizzazzjoni ġew sodisfatti, u xejn aktar minn hekk.

Żewġ servizzi fuq l-istess gateway jistgħu jintlaħqu permezz ta' familji ta' indirizzi differenti, subnets differenti u politika differenti.

Aqsam il-fluss li jaħdem minn dak li jfalli

Ittratta kull servizz bħala l-fluss tiegħu stess, mhux bħala sintomu tal-VPN. Klijent illustrattiv jista' jiftaħ portal.corp.example f'172.20.4.15:443 u xorta jfalli jilħaq bażi tad-dejta f'172.20.9.40:5432, għax dawk huma żewġ destinazzjonijiet b'żewġ settijiet ta' regoli. Ikteb iż-żewġ ringieli qabel ma tibdel xi ħaġa, inklużi l-port u l-protokoll, għax regola li tippermetti TCP 443 fuq host ma tgħid xejn dwar TCP 5432 fuq l-istess host.

Ir-ringiela li tfalli hija dik li trid tiġi investigata. Ir-ringiela li taħdem tgħid biss fejn tinsab il-linja bażi, u se tkun il-punt ta' tqabbil wara kull bidla.

Qabbel l-indirizzi qabel ma tqabbel l-ismijiet

Issolvi kull isem sħiħ permezz tal-politika li l-applikazzjoni tintuża verament, imbagħad irreġistra l-familja tal-indirizzi li għażlet. Isem wieħed jista' jirritorna indirizz IPv6 filwaqt li ieħor jirritorna IPv4, u tweġiba antika fil-cache tista' tibgħat talba lil indirizz pubbliku li m'għandu xejn x'jaqsam mas-servizz privat.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

It-tfittxija twieġeb mistoqsija dejqa: liema rotta dan il-host jagħżel għal dik id-destinazzjoni, bit-tabelli u r-regoli tal-politika attwali. Rotta għal 172.20.4.0/24 ma tkoprix 172.20.9.0/24, u t-tieni manager tan-netwerk jew rotta lokali b'speċifiċità aħjar jistgħu jaħsdu t-tunnel bil-kwiet. Erġa' wettaq it-tfittxija fl-ispazju tal-ismijiet jew bil-marka li tuża l-applikazzjoni meta dawn ikunu differenti mill-shell tiegħek. Irreġistra wkoll l-interface li minnha joħroġ il-pakkett, għax it-tabella tar-rotot tista' ssemmi interface waħda filwaqt li r-routing ibbażat fuq il-politika jibgħat il-fluss minn oħra.

Rotta li taqbel hija kundizzjoni meħtieġa, mhux permess. Tgħid li l-pakkett għandu fejn imur u xejn dwar jekk firewall, servizz ta' awtorizzazzjoni jew il-host innifsu se jaċċettawh.

Il-protokoll u l-istadju tar-risposta jgħidu fejn jieqaf

Tweġiba għal ping ma tippruvax li port ta' bażi tad-dejta huwa miftuħ, u paġna HTTPS li tirnexxi ma tawtorizzax qsim ta' fajls fuq l-istess magna. Irreġistra x'ġie lura verament minflok ma tħaffef kull falliment f'kategorija waħda. Skadenza, reset, żball ta' identità TLS u ċaħda fil-livell tal-applikazzjoni kull wieħed jindika saff differenti.

Id-distinzjoni hija importanti għax il-korrezzjonijiet jiddevjazzjoni. Is-skiet normalment ifisser problema ta' rotta, firewall jew traduzzjoni fit-triq. Reset immedjat jissuġġerixxi li xi ħaġa waslet sal-host u rrifjutat il-port. Żball ta' ċertifikat ifisser li l-konnessjoni waslet u l-isem ma qabilx, li hija problema ta' konfigurazzjoni u mhux ta' aċċessibilità. Ċaħda tal-applikazzjoni tfisser li n-netwerk għamel xogħlu u l-identità ġiet miċħuda wara.

Meta riżors jiġi ppubblikat permezz ta' gateway, qabbel l-indirizz tas-sors li jara d-destinazzjoni mal-sors li l-klijent tiegħek jaħseb li qed juża. Talba li tinħoloq mill-gateway stess tista' tirnexxi filwaqt li l-istess talba minn klijent tfalli, għax iż-żewġ jasal minn indirizzi differenti u jiltaqgħu ma' regoli differenti.

Ibdel varjabbli wieħed u erġa' ġġenera ż-żewġ talbiet

L-identità hija l-aħħar post fejn in-nies iħarsu u l-ewwel post fejn tidher ċaħda korretta. Il-login VPN, il-grupp tad-direttorju u l-kont tal-applikazzjoni huma tliet identitajiet separati li jistgħu jiddevjazzjoni. L-aċċess għall-portal qatt ma jimplika aċċess għall-bażi tad-dejta warajh, u isem f'direttorju wieħed ma joħloqx ringiela f'ieħor. Jekk is-servizz jinsab barra mill-ambitu maħsub tal-utent, iċ-ċaħda hija s-sistema li qed taħdem.

Itlob lis-sid tar-riżors jikkonferma d-dritt maħsub minflok ma żżid rotta wiesgħa jew tiftaħ grupp bħala test. It-twessigħ tan-netwerk biex tipprova punt hija l-mod kif dijanjosi temporanja ssir espożizzjoni permanenti, u jeqred il-kontroll li bdejt bih. Diskordanza waħda dimostrata għal kull iterazzjoni hija biżżejjed: rotta neqsin, familja ta' indirizzi żbaljata, port imblukkat jew sħubija fi grupp neqsin.

Wara kull bidla, erġa' agħmel iż-żewġ talbiet u żomm l-outputs spalla ma' spalla. L-investigazzjoni tintemm meta s-servizz li falla jaħdem taħt il-politika tiegħu filwaqt li s-servizz li jaħdem u ċ-ċaħdiet li għadek tistenna jġibu ruħhom eżattament bħal qabel.