Kvifor éin VPN-ressurs verkar og ein annan går ut på tid

Éin privat teneste blir lasta gjennom tunnelen og den neste går ut på tid, og freistinga er å byggje heile klientprofilen på nytt. Den fungerande tenesta er meir nyttig som kontroll enn som grunn til å byrje på nytt. Ho beviser at éin destinasjon, éin port og éin autorisasjonsveg vart oppfylt, og ingenting utover det.

To tenester på same gateway kan nåast gjennom ulike adressefamiliar, ulike subnett og ulik politikk.

Skil den fungerande flyten frå den feilande

Handsam kvar teneste som sin eigen flyt, ikkje som eit symptom på VPN-en. Ein illustrerande klient kan opne portal.corp.example på 172.20.4.15:443 og framleis ikkje nå ein database på 172.20.9.40:5432, fordi det er to destinasjonar med to regelsett. Skriv ned begge radene før du endrar noko, inkludert porten og protokollen, fordi ein regel som tillèt TCP 443 på ein vert ikkje seier noko om TCP 5432 på same vert.

Den feilande rada er den som skal granskast. Den fungerande rada fortel berre kvar grunnlinja ligg, og ho blir samanlikningspunktet etter kvar endring.

Samanlikn adresser før du samanliknar namn

Løys opp kvart fullt namn gjennom politikken applikasjonen faktisk brukar, og noter deretter adressefamilien han valde. Eitt namn kan returnere ei IPv6-adresse medan eit anna returnerer IPv4, og eit gammalt bufra svar kan sende ein førespurnad til ei offentleg adresse som ikkje har noko med den private tenesta å gjere.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Oppslaget svarar på eit smalt spørsmål: kva rute ville denne verten velje for den destinasjonen, gitt gjeldande tabellar og politikar. Ei rute for 172.20.4.0/24 dekkjer ikkje 172.20.9.0/24, og ein andre nettverkshandsamar eller ei lokal rute med betre spesifisitet kan stille overstyre tunnelen. Gjenta oppslaget inne i namnerommet eller med merket applikasjonen brukar når dei avvik frå skalet ditt. Noter også grensesnittet pakken forlèt gjennom, fordi rutetabellen kan namngje eitt grensesnitt medan policy-ruting sender flyten ut gjennom eit anna.

Ei rute som passar er ein nødvendig føresetnad, ikkje ei løyve. Ho seier at pakken har ein stad å gå, og ingenting om kvidt ein brannmur, ein autorisasjonsteneste eller verten sjølv vil godta han.

Protokoll og svarfase fortel kvar det stoppar

Eit ping-svar beviser ikkje at ein databaseport er open, og ei vellukka HTTPS-side autoriserer ikkje fildeling på same maskin. Noter kva som faktisk kom tilbake i staden for å jamne ut kvar feil i éin kategori. Ein tidsavbrot, ein tilbakestilling, ein TLS-identitetsfeil og ei avvising på applikasjonsnivå peikar kvar på eit ulikt lag.

Forskjellen er viktig fordi rettingane går kvar sin veg. Stilla tyder vanlegvis eit rute-, brannmur- eller omsetjingsproblem på vegen. Ei augneblinkleg tilbakestilling tyder på at noko nådde verten og avviste porten. Ein sertifikatfeil tyder at sambandet kom fram og namnet ikkje passa, noko som er eit konfigurasjonsproblem og ikkje eit tilgjengeproblem. Ei applikasjonsavvising tyder at nettverket gjorde jobben sin og identiteten vart avvist etterpå.

Når ein ressurs blir publisert gjennom ein gateway, samanlikn kjeldeadressa destinasjonen ser med kjelda klienten din trur han brukar. Ein førespurnad som kjem frå gatewayen sjølv kan lukkast medan den same førespurnaden frå ein klient feilar, fordi dei to kjem frå ulike adresser og møter ulike reglar.

Endra éin variabel og køyr begge førespurnadane på nytt

Identitet er den siste staden folk ser og den første staden ei korrekt avvising dukkar opp. VPN-innlogginga, kataloggruppa og applikasjonskontoen er tre separate identitetar som kan gå frå kvarandre. Tilgang til ein portal tyder aldri tilgang til databasen bak han, og eit namn i éin katalog opprettar ikkje ei rad i ein annan. Viss tenesta ligg utanfor det tiltenkte omfanget til brukaren, er avvisinga systemet som verkar.

Be ressurseigaren stadfeste den tiltenkte retten i staden for å leggje til ei brei rute eller opne ei gruppe som test. Å utvide nettverket for å bevise eit poeng er måten ein mellombels diagnostikk blir ein permanent eksponering, og det øydelegg kontrollen du starta med. Éin påvist uoverenskomst per iterasjon er nok: ei manglande rute, ein feil adressefamilie, ein blokkert port eller eit manglande gruppemedlemskap.

Etter kvar endring blir begge førespurnadane gjentekne, og utdataa haldne side om side. Granskinga sluttar når den feilande tenesta verkar under sin eigen politikk, medan den fungerande tenesta og avvisingane du framleis ventar oppfører seg nøyaktig som før.