Zašto jedan VPN resurs radi, a drugi ističe

Jedna privatna usluga se učitava kroz tunel, a sljedeća ističe, i javlja se iskušenje da se cijeli profil klijenta ponovo izgradi. Radna usluga je korisnija kao kontrola nego kao razlog da se počne iznova. Ona dokazuje da su jedna destinacija, jedan port i jedna putanja autorizacije zadovoljeni, i ništa više od toga.

Dvije usluge na istom gatewayu mogu se dosegnuti kroz različite familije adresa, različite podmreže i različitu politiku.

Odvojite radni tok od onog koji ne radi

Tretirajte svaku uslugu kao vlastiti tok, a ne kao simptom „VPN-a“. Ilustrativni klijent može otvoriti portal.corp.example na 172.20.4.15:443 i ipak ne dosegnuti bazu podataka na 172.20.9.40:5432, jer su to dvije destinacije s dva skupa pravila. Zapišite oba reda prije nego što bilo šta promijenite, uključujući port i protokol, jer pravilo koje dozvoljava TCP 443 na hostu ne govori ništa o TCP 5432 na istom hostu.

Red koji ne radi je onaj koji treba istražiti. Radni red samo govori gdje je osnovna linija i bit će točka poređenja nakon svake promjene.

Uporedite adrese prije nego što uporedite imena

Razriješite svako puno ime kroz politiku koju aplikacija zaista koristi, a zatim zabilježite familiju adresa koju je odabrala. Jedno ime može vratiti adresu IPv6 dok drugo vraća IPv4, a star keširani odgovor može poslati zahtjev na javnu adresu koja nema nikakve veze s privatnom uslugom.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Pretraga odgovara na usko pitanje: koju bi rutu ovaj host odabrao za tu destinaciju, s obzirom na trenutne tablice i pravila politike. Ruta za 172.20.4.0/24 ne pokriva 172.20.9.0/24, a drugi mrežni menadžer ili lokalna ruta s boljom specifičnošću može tiho nadjačati tunel. Ponovite pretragu unutar namespacea ili s oznakom koju aplikacija koristi kada se te razlikuju od vaše ljuske. Zabilježite i interfejs kojim paket izlazi, jer tablica ruta može navesti jedan interfejs dok politika usmjeravanja šalje tok kroz drugi.

Ruta koja se podudara je nužan uslov, ne dozvola. Ona vam kaže da paket ima kuda otići i ništa o tome hoće li ga firewall, servis autorizacije ili sam host prihvatiti.

Protokol i faza odgovora govore gdje se zaustavlja

Odgovor na ping ne dokazuje da je port baze podataka otvoren, a uspješna HTTPS stranica ne autorizira dijeljenje datoteka na istoj mašini. Zabilježite šta se stvarno vratilo umjesto da svaki neuspjeh sravnite u jednu kategoriju. Vremenski prekid, reset, greška identiteta TLS-a i odbijanje na razini aplikacije svaki upućuju na drugi sloj.

Razlika je važna jer se ispravke razilaze. Tišina obično znači problem s rutom, firewallom ili prijevodom na putu. Trenutni reset sugerira da je nešto dosegnulo host i odbilo port. Greška certifikata znači da je veza stigla, a ime se nije podudaralo, što je problem konfiguracije, a ne dosegljivosti. Odbijanje aplikacije znači da je mreža obavila svoj posao i identitet je naknadno odbijen.

Kada se resurs objavljuje kroz gateway, uporedite izvornu adresu koju destinacija vidi s izvorom za koji vaš klijent misli da ga koristi. Zahtjev koji potiče od samog gatewaya može uspjeti dok isti zahtjev s klijenta ne uspijeva, jer dva dolaze s različitih adresa i susreću različita pravila.

Promijenite jednu varijablu i ponovno pokrenite oba zahtjeva

Identitet je posljednje mjesto na koje ljudi gledaju i prvo na kojem se pojavi ispravno odbijanje. Prijava na VPN, grupa u direktoriju i račun aplikacije tri su odvojena identiteta koji se mogu razilaziti. Pristup portalu nikada ne podrazumijeva pristup bazi podataka iza njega, a ime u jednom direktoriju ne stvara red u drugom. Ako usluga stoji izvan korisnikovog predviđenog obima, odbijanje je sistem koji radi.

Zatražite od vlasnika resursa da potvrdi predviđeno pravo umjesto da dodate široku rutu ili otvorite grupu kao test. Proširivanje mreže da bi se dokazala poenta način je na koji privremena dijagnostika postaje trajna izloženost, i uništava kontrolu s kojom ste počeli. Jedna dokazana nepodudarnost po iteraciji je dovoljna: ruta koja nedostaje, pogrešna familija adresa, blokiran port ili članstvo u grupi koje nedostaje.

Nakon svake promjene ponovite oba zahtjeva i držite izlaze jedan uz drugi. Istraga završava kada usluga koja nije radila radi po vlastitoj politici, dok se radna usluga i odbijanja koja još očekujete ponašaju točno kao prije.