Zakaj en vir VPN deluje, drugi pa se izteče

Ena zasebna storitev se naloži skozi tunel, naslednja pa se izteče, in pojavi se skušnjava, da bi znova zgradili celoten profil odjemalca. Delujoča storitev je bolj uporabna kot kontrola kot pa kot razlog za začetek znova. Dokazuje, da so bili izpolnjeni en cilj, ena vrata in ena pot avtorizacije, in nič več.

Do dveh storitev na isti prehodni točki je mogoče priti prek različnih družin naslovov, različnih podomrežij in različne politike.

Ločite delujoči tok od nedelujočega

Vsako storitev obravnavajte kot njen lastni tok in ne kot simptom VPN. Ilustrativni odjemalec lahko odpre portal.corp.example na 172.20.4.15:443 in vseeno ne doseže zbirke podatkov na 172.20.9.40:5432, ker sta to dve ciljni točki z dvema naboroma pravil. Zapišite obe vrstici, preden karkoli spremenite, vključno z vrati in protokolom, ker pravilo, ki dovoljuje TCP 443 na gostitelju, ne pove ničesar o TCP 5432 na istem gostitelju.

Nedelujoča vrstica je tista, ki jo je treba raziskati. Delujoča vrstica samo pove, kje je osnovna črta, in bo primerjalna točka po vsaki spremembi.

Primerjajte naslove, preden primerjate imena

Razrešite vsako polno ime skozi politiko, ki jo aplikacija dejansko uporablja, nato zabeležite izbrano družino naslovov. Eno ime lahko vrne naslov IPv6, medtem ko drugo vrne IPv4, in star predpomnjen odgovor lahko pošlje zahtevo na javni naslov, ki nima nič skupnega z zasebno storitvijo.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Poizvedba odgovarja na ozko vprašanje: katero pot bi ta gostitelj izbral za to ciljno točko glede na trenutne tabele in pravila politike. Pot za 172.20.4.0/24 ne pokriva 172.20.9.0/24, drugi upravitelj omrežja ali lokalna pot z boljšo specifičnostjo pa lahko tiho preglasi tunel. Poizvedbo ponovite znotraj imenskega prostora ali z oznako, ki jo uporablja aplikacija, ko se te razlikujejo od vaše lupine. Zabeležite tudi vmesnik, skozi katerega paket odide, ker lahko tabela poti navede en vmesnik, medtem ko usmerjanje po politiki pošlje tok skozi drugega.

Ujemajoča se pot je nujni pogoj, ne dovoljenje. Pove, da ima paket kam iti, in nič o tem, ali ga bo sprejel požarni zid, storitev avtorizacije ali gostitelj sam.

Protokol in faza odziva povesta, kje se ustavi

Odziv na ping ne dokazuje, da so vrata zbirke podatkov odprta, in uspešna stran HTTPS ne avtorizira souporabe datotek na istem stroju. Zabeležite, kaj se je v resnici vrnilo, namesto da vsako napako sploščite v eno kategorijo. Časovna omejitev, ponastavitev, napaka identitete TLS in zavrnitev na ravni aplikacije vsaka kažejo na drugo plast.

Razlika je pomembna, ker se popravki razhajajo. Tišina običajno pomeni težavo s potjo, požarnim zidom ali prevajanjem na poti. Takojšnja ponastavitev nakazuje, da je nekaj doseglo gostitelja in zavrnilo vrata. Napaka potrdila pomeni, da je povezava prispela in se ime ni ujemalo, kar je težava s konfiguracijo in ne z dosegljivostjo. Zavrnitev aplikacije pomeni, da je omrežje opravilo svoje delo in je bila identiteta nato zavrnjena.

Ko je vir objavljen skozi prehodno točko, primerjajte izvorni naslov, ki ga vidi ciljna točka, z izvorom, za katerega vaš odjemalec meni, da ga uporablja. Zahteva, ki jo sproži sama prehodna točka, lahko uspe, medtem ko ista zahteva z odjemalca ne uspe, ker prihajata z različnih naslovov in naletita na različna pravila.

Spremenite eno spremenljivko in znova zaženite obe zahtevi

Identiteta je zadnje mesto, kamor ljudje pogledajo, in prvo, kjer se pojavi pravilna zavrnitev. Prijava v VPN, skupina v imeniku in račun aplikacije so tri ločene identitete, ki se lahko razhajajo. Dostop do portala nikoli ne pomeni dostopa do zbirke podatkov za njim, in ime v enem imeniku ne ustvari vrstice v drugem. Če storitev leži zunaj predvidenega obsega uporabnika, je zavrnitev sistem, ki deluje.

Prosite lastnika vira, da potrdi predvideno pravico, namesto da dodate široko pot ali odprete skupino kot preskus. Širjenje omrežja za dokazovanje trditve je pot, po kateri začasna diagnostika postane trajna izpostavljenost, in uniči kontrolo, s katero ste začeli. Ena dokazana neusklajenost na ponovitev je dovolj: manjkajoča pot, napačna družina naslovov, blokirana vrata ali manjkajoče članstvo v skupini.

Po vsaki spremembi ponovite obe zahtevi in držite izpise enega ob drugem. Preiskava se konča, ko nedelujoča storitev deluje po svoji lastni politiki, medtem ko se delujoča storitev in zavrnitve, ki jih še pričakujete, obnašajo natanko kot prej.