TCP funguje a UDP sa na tom istom porte dostane na iný server

Profil funguje cez TCP a zlyháva cez UDP s upozornením na certifikát. Intuitívne čítanie je, že cesta UDP narušila dôveru, a intuitívna oprava je certifikát prijať. Oba predpoklady preskakujú možnosť, ktorá príznak úplne vysvetľuje: oba prenosy dorazili na rôzne stroje. Pravidlo preposielania sa páruje podľa protokolu a nič nenúti polovice TCP a UDP jedného čísla portu ukazovať na toho istého hostiteľa.

Jedno číslo portu, dve nezávislé pravidlá

Preposielanie je vyhľadanie v tabuľke podľa protokolu, cieľovej adresy a portu. Brána s pravidlom pre TCP 1194 a pravidlom pre UDP 1194 vyjadruje dve nezávislé rozhodnutia a tie môžu menovať rôznych interných hostiteľov. Spoločné číslo je pohodlie pre ľudí, nie vlastnosť, ktorú by sieť vynucovala. Berte číslo portu ako označenie, nie ako definíciu služby.

Pozerajte sa na platné pravidlá, nie na zamýšľané. Cieľová adresa, preložený port a vstupné rozhranie sa všetky zúčastňujú, a pravidlo zostávajúce z dávnejšej migrácie je obvyklým dôvodom, prečo sa obe polovice nezhodujú.

Zapíšte obe mapovania, skôr než zmeníte čokoľvek iné. Dvojica riadkov je celá hypotéza.

Čo klient skutočne overil

Počas handshake klient kontroluje certifikát proti nastavenej dôvere a proti očakávanému názvu. Neočakávaný certifikát je úspešné overenie, ktoré neprešlo kontrolou totožnosti, a to je správny výsledok, keď protistrana nie je tá, ktorú ste chceli dosiahnuť. Jeho odmietnutie je dôkaz, že klient funguje, nie že je prenos pokazený. Čítajte nahlásený názov pred nahláseným reťazcom, pretože názov je to, čo klient porovnal.

Rozdiel je dôležitý, pretože obe chyby vedú k rôznym opravám. Problém dôvery potrebuje opravu dôvery, zatiaľ čo neočakávaná protistrana potrebuje opravu smerovania alebo preposielania.

Poznamenajte, akú totožnosť klient nahlásil. Ten názov je najsilnejšia stopa, ktorý stroj odpovedal.

Spojte pokus so serverom

Zaznamenajte profil, verejnú adresu, prenos a port, ktoré klient použil. Potom porovnajte čas pokusu s logom servera, ktorý ste chceli dosiahnuť. Jeho neprítomnosť je stopa, nie dôkaz, že firewall paket zahodil, pretože úrovne protokolovania sa medzi nasadeniami líšia. Časová pečiatka spolu so zdrojovou adresou to zúži viac než ktorékoľvek z nich samo.

Porovnajte totožnosť certifikátu, na ktorú ste narazili, s očakávanou totožnosťou prostredníctvom administratívneho kanála. Práve toto porovnanie mimo kanála udržiava kontrolu dôveryhodnou.

Skontrolujte staré pravidlá preposielania, alternatívnych počúvajúcich a každú cestu vyvažovania záťaže, kým usúdite, že oba prenosy zdieľajú backend. Každá z nich môže presmerovať tok bez toho, aby sa dotkla druhého prenosu.

Neprispôsobujte dôveru nesprávnej protistrane

Import neočakávanej CA nechá príznak zmiznúť a zmení, komu klient dôveruje. To je horší stav než neúspešné pripojenie, pretože skrýva nesúlad namiesto toho, aby ho riešil. To isté platí pre vypnutie overovania len preto, aby sme videli, či tunel vstane.

Ak sa protistrana ukáže ako legitímna, ale nezamýšľaná, správnym krokom je vyradiť ju alebo nasmerovať pravidlo na správneho hostiteľa. Úložisko dôvery nie je miestom na zosúladenie chyby v inventári.

Uchovajte text odmietnutia. Je to jediný záznam o tom, čo klient videl.

Po oprave otestujte nový tok

Opravte mapovanie a potom sa pripojte novou reláciou klienta. Stavový preklad môže udržať existujúci tok na starom cieli, takže nadviazané spojenie môže zmenu prežiť a zmiasť vás. Spustite nové a potvrďte v logu zamýšľaného servera, že pokus obslúžil.

Ak oba prenosy preukázateľne dosiahnu ten istý server a napriek tomu sa správajú rôzne, zostávajúcim rozdielom sú vlastné počúvajúce a konfigurácia tohto servera. Porovnanie prenosov má zmysel až vtedy, keď je totožnosť koncového bodu pevne daná.