VPN medzi lokalitami funguje len jedným smerom: dve rôzne poruchy

Lokalita A dosiahne B, B sa nedostane na A a tunel vyzerá v oboch smeroch v poriadku. Skôr než sa tunela dotknete, určte, ktorú poruchu vlastne máte. Nové spojenie začaté na B, ktoré sa odmietne, a odpoveď na spojenie začaté na A, ktorá nikdy nepríde, dávajú podobné sťažnosti a úplne odlišné diagnózy. Jedno je problém pravidiel alebo trasy na ceste; druhé je problém spätnej cesty alebo stavu pre prevádzku, ktorá už bola povolená.

Toto rozlíšenie rozhoduje, ktoré príkazy sa oplatí spúšťať.

Dve poruchy, ktoré vyzerajú rovnako

V prvom prípade hostiteľ B pošle na A SYN a nič sa nevráti. V druhom hostiteľ A úspešne otvorí reláciu a odpoveď na spiatočnej ceste zmizne. Obaja používatelia hovoria, že spojenie je jednosmerné, a obaja opisujú paket, ktorý zmizol, takže samotný opis ich neoddelí.

Opýtajte sa, ktorá strana začala neúspešný pokus. Tento jediný fakt odstráni polovicu možných príčin.

Potom overte, či test celý čas používal rovnakých hostiteľov a rovnakú službu. Ping z jednej strany a spojenie na zdieľaný priečinok z druhej strany testujú dve rozdielne veci a diagnostika z brány môže vybrať adresu tunela, ktorú žiadna používateľská prevádzka nepoužíva.

Prvý prípad: chýba spiatočná cesta

Vzdialený server, ktorý odpovedá cez inú predvolenú bránu, môže požiadavku prijať a odpoveď odoslať inam. Stavové firewally potom asymetrickú odpoveď zahodia, pretože nezodpovedá vytvorenému toku, čo vyzerá presne ako smer, ktorý nikdy nefungoval. Preklad pridáva ďalší variant: cieľ vidí preložený zdroj a odpovedá naň, takže pravidlo napísané pre pôvodnú adresu nikdy nesedí.

Overte adresu, ktorú cieľ po preklade skutočne vidí, a spiatočnú trasu pre túto adresu, nie pre pôvodnú podsieť.

Druhý prípad: pravidlá to nikdy nepovolili

Opačný prípad je jednoduchší a častejší, než vyzerá: jedna pobočka má centrálnu službu využívať a nikdy do centra nezačínať spojenia. Táto asymetria je zámerné rozhodnutie o prístupe a tunel funguje tak, ako bol navrhnutý. Prečítajte si pravidlá prístupu, skôr než zmeníte akékoľvek nastavenie tunela. Ktorý smer bol zamýšľaný, hovorí dokument, nie zachytávanie paketov. Zachytávanie ukáže len to, čo sa stalo, nie to, čo bolo povolené.

Ak je obojsmerné začatie skutočne potrebné, pridajte povolenie pre konkrétnu službu cez podporovanú sadu pravidiel platformy. Urobiť všetky podsiete navzájom dôveryhodnými kvôli oprave jednej aplikácie mení úzku požiadavku na široké povolenie a táto výmena sa málokedy spätne prehodnocuje.

Porovnajte stav pred a po na rovnakých hostiteľoch

Sledujte oba konce toho istého pokusu, nie dva oddelené pokusy. Zachytávajte na bráne hostiteľa, ktorý spojenie začína, a na cieli, potom porovnajte, čo vošlo, čo vyšlo a akú adresu videla vzdialená strana.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Ak zachytávanie na cieli ukazuje požiadavku s neočakávanou zdrojovou adresou, odpoveď je v preklade alebo smerovaní, nie v bezpečnostných pravidlách tunela. Ak cieľ neukazuje žiadnu požiadavku, paket nikdy neprešiel chránenou cestou.

Po oprave zopakujte ten istý test z rovnakého hostiteľa a potvrďte, že nesúvisiaci prístup je stále zamietnutý. Stav tunela “established” sám o sebe nepodporuje ani jeden z dvoch záverov.