Зашто један VPN ресурс ради, а други истекне

Један приватни сервис се учитава кроз тунел, а следећи истекне, и јавља се искушење да се цео профил клијента поново изгради. Радни сервис је кориснији као контрола него као разлог да се почне изнова. Он доказује да су једна дестинација, један порт и једна путања ауторизације испуњени, и ништа више од тога.

Два сервиса на истом гејтвеју могу се достићи кроз различите фамилије адреса, различите подмреже и различиту политику.

Одвојите радни ток од оног који не успева

Третирајте сваки сервис као сопствени ток, а не као симптом VPN-а. Илустративни клијент може отворити portal.corp.example на 172.20.4.15:443 и ипак не достићи базу података на 172.20.9.40:5432, јер су то две дестинације са два скупа правила. Запишите оба реда пре него што било шта промените, укључујући порт и протокол, јер правило које дозвољава TCP 443 на једном хосту не говори ништа о TCP 5432 на истом хосту.

Ред који не успева је онај који треба истражити. Радни ред само говори где се налази основна линија и биће тачка поређења после сваке промене.

Упоредите адресе пре него што упоредите имена

Разрешите свако пуно име кроз политику коју апликација заиста користи, а затим забележите изабрану фамилију адреса. Једно име може вратити IPv6 адресу, док друго враћа IPv4, а стари кеширани одговор може послати захтев на јавну адресу која нема никакве везе са приватним сервисом.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Претрага одговара на уско питање: коју би путању овај хост изабрао за ту дестинацију, с обзиром на тренутне табеле и правила политике. Путања за 172.20.4.0/24 не покрива 172.20.9.0/24, а други мрежни менаџер или локална путања са бољом специфичношћу могу тихо надјачати тунел. Поновите претрагу унутар именског простора или са ознаком коју апликација користи када се оне разликују од ваше љуске. Забележите и интерфејс кроз који пакет излази, јер табела путања може навести један интерфејс док политичко усмеравање шаље ток кроз други.

Путања која се поклапа је неопходан услов, а не дозвола. Она говори да пакет има куда да иде и ништа о томе да ли ће га прихватити заштитни зид, сервис ауторизације или сам хост.

Протокол и фаза одговора показују где се зауставља

Одговор на ping не доказује да је порт базе података отворен, а успешна HTTPS страница не ауторизује дељење датотека на истој машини. Забележите шта је заиста стигло назад уместо да сваки неуспех спљоштите у једну категорију. Истек времена, ресет, грешка идентитета TLS и одбијање на нивоу апликације свако указује на различит слој.

Разлика је важна јер се исправке разилазе. Тишина обично значи проблем са путањом, заштитним зидом или преводом на путу. Тренутни ресет указује да је нешто стигло до хоста и одбило порт. Грешка сертификата значи да је веза стигла, а име се није поклопило, што је проблем конфигурације, а не доступности. Одбијање апликације значи да је мрежа обавила свој посао и идентитет је потом одбијен.

Када се ресурс објављује кроз гејтвеј, упоредите изворну адресу коју дестинација види са извором за који ваш клијент мисли да га користи. Захтев који потиче од самог гејтвеја може успети, док исти захтев са клијента не успева, јер обоје долазе са различитих адреса и сусрећу различита правила.

Промените једну променљиву и поново покрените оба захтева

Идентитет је последње место које људи гледају и прво на коме се појави исправно одбијање. Пријава на VPN, група у директоријуму и налог апликације су три одвојена идентитета која могу да се разиђу. Приступ порталу никада не подразумева приступ бази података иза њега, а име у једном директоријуму не ствара ред у другом. Ако сервис стоји изван предвиђеног обима корисника, одбијање је систем који ради.

Замолите власника ресурса да потврди предвиђено право уместо да додате широку путању или отворите групу као тест. Ширење мреже да би се доказала поента је начин на који привремена дијагностика постаје трајна изложеност, и уништава контролу са којом сте почели. Једна доказана неусклађеност по итерацији је довољна: путања која недостаје, погрешна фамилија адреса, блокиран порт или чланство у групи које недостаје.

После сваке промене поновите оба захтева и држите излазе један поред другог. Истрага се завршава када сервис који није радио ради по сопственој политици, док се радни сервис и одбијања која још очекујете понашају тачно као пре.