TCP ради, а UDP на истом порту стиже до другог сервера

Профил ради преко TCP-а и не успева преко UDP-а уз упозорење о сертификату. Интуитивно читање је да је UDP пут прекинуо поверење, а интуитивни исправак је прихватити сертификат. Обе претпоставке прескачу могућност која у потпуности објашњава симптом: два преноса стигла су до различитих рачунара. Правило прослеђивања упоређује се по протоколу и ништа не присиљава TCP и UDP половине истог броја порта да показују на истог хоста.

Један број порта, два независна правила

Прослеђивање је претрага табеле према протоколу, одредишној адреси и порту. Приступник с правилом за TCP 1194 и правилом за UDP 1194 изражава две независне одлуке, а оне могу именовати различите интерне хостове. Заједнички број је погодност за људе, а не својство које мрежа намеће. Третирајте број порта као ознаку, а не као дефиницију услуге.

Гледајте стварна правила, а не намеравана. Одредишна адреса, преведени порт и улазно сучеље сви учествују, а правило заостало из раније миграције уобичајен је разлог зашто се две половине не слажу.

Запишите оба пресликавања пре него што промените било шта друго. Пар редова је цела хипотеза.

Шта је клијент стварно проверио

Током руковања клијент проверава сертификат према конфигурисаном поверењу и према имену које очекује. Неочекивани сертификат је успешна провера која није прошла проверу идентитета, и то је исправан исход када друга страна није она коју сте хтели да достигнете. Његово одбијање доказ је да клијент ради, а не да је пренос покварен. Читајте пријављено име пре пријављеног ланца, јер име је оно што је клијент упоредио.

Разлика је важна јер две грешке воде до различитих исправака. Проблем поверења тражи исправак поверења, док неочекивана страна тражи исправак усмеравања или прослеђивања.

Забележите који је идентитет клијент пријавио. То име је најјачи траг о томе које је рачунар одговорио.

Повежите покушај са сервером

Забележите профил, јавну адресу, пренос и порт које је клијент користио. Затим упоредите време покушаја са записом сервера који сте хтели да достигнете. Његов изостанак је траг, а не доказ да је заштитни зид одбацио пакет, јер се нивои записивања разликују међу инсталацијама. Временска ознака заједно с изворном адресом сужава то више него било која од њих сама.

Упоредите идентитет сертификата на који сте налетели са очекиваним идентитетом преко административног канала. Управо то поређење изван канала одржава проверу поузданом.

Проверите стара правила прослеђивања, алтернативне слушаоце и сваки пут равнотеже оптерећења пре него што закључите да оба преноса деле позадину. Сваки од њих може преусмерити ток без дирања другог преноса.

Не прилагођавајте поверење погрешној страни

Увоз неочекиваног CA чини да симптом нестане и мења коме клијент верује. То је горе стање од неуспеле везе, јер скрива неспоразум уместо да га реши. Исто важи за искључивање провере само да би се видело хоће ли тунел устати.

Ако се страна покаже легитимном, али ненамерном, исправан је поступак повући је или усмерити правило на прави хост. Спремиште поверења није место за усклађивање грешке у инвентару.

Сачувајте текст одбијања. То је једини запис о томе шта је клијент видео.

Након исправке испробајте нови ток

Исправите пресликавање и затим се повежите новом клијентском сесијом. Превод са стањем може задржати постојећи ток на старом одредишту, па успостављена веза може преживети промену и заварати вас. Покрените нову и потврдите у запису предвиђеног сервера да је обрадио покушај.

Ако оба преноса доказиво достигну исти сервер и ипак се понашају различито, преостала разлика су властити слушаоци и конфигурација тог сервера. Поређење преноса има смисла тек кад је идентитет крајње тачке утврђен.