Prečo jeden zdroj VPN funguje a iný vyprší

Jedna súkromná služba sa načíta tunelom a ďalšia vyprší, a človek má chuť prestavať celý profil klienta. Fungujúca služba je užitočnejšia ako kontrola než ako dôvod začať odznova. Dokazuje, že jedna destinácia, jeden port a jedna cesta autorizácie boli splnené, a nič viac.

K dvom službám na tej istej bráne sa dá dostať cez rôzne rodiny adries, rôzne podsiete a rôznu politiku.

Oddeľte fungujúci tok od nefunkčného

Berte každú službu ako vlastný tok, nie ako príznak VPN. Ukážkový klient môže otvoriť portal.corp.example na 172.20.4.15:443 a napriek tomu nedosiahnuť databázu na 172.20.9.40:5432, pretože to sú dve destinácie s dvoma sadami pravidiel. Zapíšte oba riadky, skôr než čokoľvek zmeníte, vrátane portu a protokolu, pretože pravidlo, ktoré povoľuje TCP 443 na hostiteľovi, nehovorí nič o TCP 5432 na tom istom hostiteľovi.

Nefunkčný riadok je ten, ktorý treba preskúmať. Fungujúci riadok len hovorí, kde je základná línia, a bude porovnávacím bodom po každej zmene.

Porovnajte adresy skôr než mená

Vyriešte každé plné meno podľa politiky, ktorú aplikácia skutočne používa, a potom zaznamenajte zvolenú rodinu adries. Jedno meno môže vrátiť adresu IPv6, zatiaľ čo iné IPv4, a stará uložená odpoveď môže poslať požiadavku na verejnú adresu, ktorá nemá so súkromnou službou nič spoločné.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Vyhľadanie odpovedá na úzku otázku: ktorú trasu by tento hostiteľ zvolil pre tú destináciu pri súčasných tabuľkách a pravidlách politiky. Trasa pre 172.20.4.0/24 nepokrýva 172.20.9.0/24 a druhý správca siete alebo lokálna trasa s lepšou špecifickosťou môžu tunel potichu prepísať. Zopakujte vyhľadanie vnútri menného priestoru alebo so značkou, ktorú aplikácia používa, keď sa líšia od vášho shellu. Zaznamenajte aj rozhranie, ktorým paket odchádza, pretože tabuľka trás môže uviesť jedno rozhranie, zatiaľ čo smerovanie podľa politiky posiela tok iným.

Zhodná trasa je nevyhnutná podmienka, nie povolenie. Hovorí, že paket má kam ísť, a nič o tom, či ho prijme firewall, autorizačná služba alebo samotný hostiteľ.

Protokol a fáza odpovede ukazujú, kde sa zastaví

Odpoveď na ping nedokazuje, že port databázy je otvorený, a úspešná stránka HTTPS neautorizuje zdieľanie súborov na tom istom počítači. Zaznamenajte, čo sa skutočne vrátilo, namiesto toho, aby ste každé zlyhanie sploštili do jednej kategórie. Časový limit, reset, chyba identity TLS a odmietnutie na úrovni aplikácie ukazujú každé na inú vrstvu.

Rozdiel je dôležitý, pretože opravy sa rozchádzajú. Ticho zvyčajne znamená problém s trasou, firewallom alebo prekladom na ceste. Okamžitý reset naznačuje, že niečo dosiahlo hostiteľa a odmietlo port. Chyba certifikátu znamená, že spojenie dorazilo a meno nesedelo, čo je problém konfigurácie, nie dostupnosti. Odmietnutie aplikácie znamená, že sieť urobila svoju prácu a identita bola následne odmietnutá.

Keď sa zdroj publikuje cez bránu, porovnajte zdrojovú adresu, ktorú vidí destinácia, so zdrojom, o ktorom sa váš klient domnieva, že ho používa. Požiadavka vzniknutá priamo v bráne môže uspieť, zatiaľ čo tá istá požiadavka z klienta zlyhá, pretože obe prichádzajú z rôznych adries a stretávajú rôzne pravidlá.

Zmeňte jednu premennú a znova spustite obe požiadavky

Identita je posledné miesto, kam sa ľudia pozerajú, a prvé, kde sa objaví správne odmietnutie. Prihlásenie do VPN, skupina v adresári a účet aplikácie sú tri oddelené identity, ktoré sa môžu rozísť. Prístup k portálu nikdy neznamená prístup k databáze za ním a meno v jednom adresári nevytvára riadok v inom. Ak služba leží mimo zamýšľaného rozsahu používateľa, odmietnutie je systém, ktorý funguje.

Požiadajte vlastníka zdroja o potvrdenie zamýšľaného oprávnenia namiesto pridania širokej trasy alebo otvorenia skupiny ako testu. Rozširovanie siete, aby sa niečo dokázalo, je spôsob, akým sa dočasná diagnostika stane trvalým vystavením, a ničí kontrolu, s ktorou ste začali. Jedna doložená nezhoda na iteráciu stačí: chýbajúca trasa, nesprávna rodina adries, zablokovaný port alebo chýbajúce členstvo v skupine.

Po každej zmene zopakujte obe požiadavky a držte výstupy vedľa seba. Vyšetrovanie končí, keď nefunkčná služba funguje podľa svojej vlastnej politiky, zatiaľ čo fungujúca služba a odmietnutia, ktoré stále očakávate, sa správajú presne ako predtým.