Pse një burim VPN punon dhe një tjetër skadon

Një shërbim privat ngarkohet përmes tunelit dhe tjetri skadon, dhe tundimi është të rindërtohet i gjithë profili i klientit. Shërbimi që punon është më i dobishëm si kontroll sesa si arsye për të nisur nga e para. Ai vërteton se një destinacion, një port dhe një rrugë autorizimi u plotësuan, dhe asgjë më shumë.

Dy shërbime në të njëjtin gateway mund të arrihen përmes familjeve të ndryshme të adresave, subneteve të ndryshme dhe politikave të ndryshme.

Ndani rrjedhën që punon nga ajo që dështon

Trajtojeni çdo shërbim si rrjedhën e vet dhe jo si simptom të VPN-së. Një klient ilustrues mund të hapë portal.corp.example në 172.20.4.15:443 dhe prapëseprapë të mos arrijë një bazë të dhënash në 172.20.9.40:5432, sepse ato janë dy destinacione me dy grupe rregullash. Shkruani të dy rreshtat përpara se të ndryshoni çdo gjë, duke përfshirë portin dhe protokollin, sepse një rregull që lejon TCP 443 në një host nuk thotë asgjë për TCP 5432 në të njëjtin host.

Rreshti që dështon është ai që duhet hetuar. Rreshti që punon thotë vetëm ku ndodhet vija bazë dhe do të jetë pika e krahasimit pas çdo ndryshimi.

Krahasoni adresat përpara emrave

Zgjidhni çdo emër të plotë përmes politikës që aplikacioni përdor në të vërtetë, më pas regjistroni familjen e adresave që zgjodhi. Një emër mund të kthejë një adresë IPv6 ndërsa tjetri IPv4, dhe një përgjigje e vjetër në cache mund të dërgojë një kërkesë në një adresë publike që nuk ka asnjë lidhje me shërbimin privat.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Kërkimi përgjigjet një pyetje të ngushtë: cilën rrugë do të zgjidhte ky host për atë destinacion, me tabelat dhe rregullat e politikës aktuale. Një rrugë për 172.20.4.0/24 nuk mbulon 172.20.9.0/24, dhe një menaxher i dytë i rrjetit ose një rrugë lokale me specifikë më të mirë mund ta anashkalojnë tunelin në heshtje. Përsëritni kërkimin brenda hapësirës së emrave ose me shenjën që përdor aplikacioni kur ato ndryshojnë nga shell-i juaj. Regjistroni edhe ndërfaqen nga e cila del paketa, sepse tabela e rrugëve mund të emërtojë një ndërfaqe ndërsa rrjetimi sipas politikës e dërgon rrjedhën nga një tjetër.

Një rrugë që përputhet është kusht i nevojshëm, jo leje. Ajo thotë se paketa ka ku të shkojë dhe asgjë për faktin nëse një firewall, një shërbim autorizimi apo vetë hosti do ta pranojë.

Protokolli dhe faza e përgjigjes tregojnë ku ndalon

Një përgjigje ping nuk vërteton se një port i bazës së të dhënave është i hapur, dhe një faqe HTTPS e suksesshme nuk autorizon ndarjen e skedarëve në të njëjtën makinë. Regjistroni çfarë u kthye në të vërtetë në vend që të rrafshoni çdo dështim në një kategori. Një timeout, një reset, një gabim identiteti TLS dhe një refuzim në nivel aplikacioni secili tregon një shtresë të ndryshme.

Dallimi ka rëndësi sepse korrigjimet ndryshojnë. Heshtja zakonisht do të thotë problem rruge, firewalle ose përkthimi në rrugë. Një reset i menjëhershëm sugjeron se diçka arriti te hosti dhe refuzoi portin. Një gabim certifikate do të thotë se lidhja arriti dhe emri nuk përputhej, që është problem konfigurimi dhe jo arritshmërie. Një refuzim aplikacioni do të thotë se rrjeti bëri punën e vet dhe identiteti u refuzua më pas.

Kur një burim publikohet përmes një gateway, krahasoni adresën burimore që sheh destinacioni me burimin që klienti juaj mendon se përdor. Një kërkesë e nisur nga vetë gateway mund të ketë sukses ndërsa e njëjta kërkesë nga një klient dështon, sepse të dyja vijnë nga adresa të ndryshme dhe ndeshen me rregulla të ndryshme.

Ndryshoni një variabël dhe ekzekutoni përsëri të dyja kërkesat

Identiteti është vendi i fundit ku njerëzit shikojnë dhe i pari ku shfaqet një refuzim i saktë. Hyrja në VPN, grupi i drejtorisë dhe llogaria e aplikacionit janë tre identitete të veçanta që mund të ndryshojnë. Qasja në një portal nuk nënkupton kurrë qasje në bazën e të dhënave pas tij, dhe një emër në një drejtori nuk krijon një rresht në një tjetër. Nëse shërbimi ndodhet jashtë fushës së synuar të përdoruesit, refuzimi është sistemi që punon.

Kërkojini pronarit të burimit të konfirmojë të drejtën e synuar në vend që të shtoni një rrugë të gjerë ose të hapni një grup si provë. Zgjerimi i rrjetit për të vërtetuar një pikë është mënyra se si një diagnozë e përkohshme bëhet një ekspozim i përhershëm, dhe shkatërron kontrollin me të cilin filluat. Një mospërputhje e demonstruar për çdo përsëritje mjafton: një rrugë që mungon, një familje e gabuar adresash, një port i bllokuar ose një anëtarësi grupi që mungon.

Pas çdo ndryshimi, përsëritni të dyja kërkesat dhe mbani daljet krah për krah. Hetimi përfundon kur shërbimi që dështonte punon sipas politikës së vet, ndërsa shërbimi që punon dhe refuzimet që ende prisni sillen saktësisht si më parë.