VPN између локација ради само у једном смеру: две различите грешке

Локација A достиже B, B не може да достигне A, а тунел изгледа исправно у оба смера. Пре него што дирнете тунел, утврдите коју грешку заиста имате. Нова веза покренута на B која се одбија и одговор на везу покренуту на A који никада не стиже дају сличне жалбе и потпуно различите дијагнозе. Једно је проблем политике или руте на путу; друго је проблем повратног пута или стања за саобраћај који је већ био дозвољен.

Та разлика одлучује које наредбе вреди извршавати.

Две грешке које изгледају исто

У првом случају домаћин на B шаље SYN на A и ништа се не враћа. У другом домаћин на A успешно отвара сесију и одговор нестаје на повратном путу. Оба корисника кажу да је веза једносмерна и обојица описују пакет који је нестао, па их сам опис не може раздвојити.

Питајте која је страна започела неуспели покушај. Та једна чињеница уклања половину могућих узрока.

Затим проверите да је тест све време користио исте домаћине и исту услугу. Ping са једне стране и веза ка дељеној фасцикли са друге проверавају две различите ствари, а дијагностика са пролаза може да изабере адресу тунела коју ниједан кориснички саобраћај не користи.

Први случај: недостаје повратни пут

Удаљени сервер који одговара преко другог подразумеваног пролаза може да прими захтев и усмери одговор негде другде. Тада заштитни зидови који прате стање одбацују асиметрични одговор, јер не одговара успостављеном току, што изгледа управо као смер који никада није радио. Превод додаје још једну верзију: одредиште види преведени извор и одговара њему, па правило написано за оригиналну адресу никада не одговара.

Проверите адресу коју одредиште заиста види после превода, и повратну руту за ту адресу, а не за оригиналну подмрежу.

Други случај: политика то никада није дозвољавала

Супротан случај је једноставнији и чешћи него што изгледа: једна канцеларија треба да користи централну услугу и никада не треба да започиње везе ка центру. Та асиметрија је намерна одлука о приступу, и тунел ради како је пројектован. Прочитајте политику приступа пре него што промените било коју поставку тунела. Који је смер био намењен каже документ, а не снимање пакета. Снимање може да покаже само шта се догодило, не шта је било дозвољено.

Ако је двосмерно покретање заиста потребно, додајте дозволу за конкретну услугу кроз подржани скуп правила платформе. Учинити сваку подмрежу међусобно поверљивом да би се поправила једна апликација претвара узак захтев у широку дозволу, а та размена се ретко касније прегледа.

Упоредите пре и после на истим домаћинима

Посматрајте оба краја истог покушаја, а не два одвојена покушаја. Снимите на пролазу домаћина који покреће и на одредишту, па упоредите шта је ушло, шта је изашло и коју је адресу видела далека страна.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Ако снимак на одредишту показује захтев са неочекиваном изворном адресом, одговор је у преводу или усмеравању, а не у безбедносној политици тунела. Ако одредиште не показује никакав захтев, пакет никада није прешао заштићени пут.

После исправке поновите исти тест са истог домаћина и потврдите да је неповезани приступ и даље одбијен. Статус тунела “established” сам по себи не подржава ниједан од два закључка.