VPN ya tovuti-hadi-tovuti hufanya kazi upande mmoja tu: hitilafu mbili tofauti

Tovuti A hufikia B, B haiwezi kufikia A, na handaki huonekana sawa katika pande zote mbili. Kabla ya kugusa handaki, amua ni hitilafu gani unayo kweli. Muunganisho mpya unaoanzishwa kwenye B na kukataliwa, na jibu kwa muunganisho ulioanzishwa kwenye A ambao haufiki kamwe, huzalisha malalamiko yanayofanana na uchunguzi tofauti kabisa. Moja ni tatizo la sera au njia kwenye njia; lingine ni tatizo la njia ya kurudi au hali kwa trafiki ambayo tayari iliruhusiwa.

Tofauti hiyo huamua amri zipi zinafaa kuendeshwa.

Hitilafu mbili zinazoonekana sawa

Katika kesi ya kwanza mwenyeji wa B hutuma SYN kwa A, na hakuna kinachorudi. Katika ya pili mwenyeji wa A hufungua kikao kwa mafanikio na jibu hupotea njiani kurudi. Watumiaji wote wawili wanasema kiungo ni cha upande mmoja, na wote wawili wanaelezea pakiti iliyopotea, kwa hiyo maelezo pekee hayawezi kuwatenganisha.

Uliza upande gani ulianzisha jaribio lililoshindwa. Ukweli huo mmoja huondoa nusu ya sababu zinazowezekana.

Kisha hakikisha kuwa jaribio lilitumia wenyeji wale wale na huduma ile ile muda wote. Ping kutoka upande mmoja na muunganisho wa kushiriki faili kutoka upande mwingine hujaribu vitu viwili tofauti, na uchunguzi uliofanywa kutoka lango la mtandao unaweza kuchagua anwani ya handaki ambayo hakuna trafiki ya mtumiaji inayotumia.

Kesi ya kwanza: njia ya kurudi haipo

Seva ya mbali inayojibu kupitia lango lingine la chaguo-msingi inaweza kupokea ombi na kuelekeza jibu mahali pengine. Kisha ngome za moto zinazofuatilia hali hutupa jibu lisilolingana, kwa sababu halingani na mtiririko ulioanzishwa, jambo ambalo huonekana kama mwelekeo ambao haukufanya kazi kamwe. Tafsiri huongeza toleo lingine: marudio huona chanzo kilichotafsiriwa na hulijibu, kwa hiyo kanuni iliyoandikwa kwa anwani ya awali hailingani kamwe.

Angalia anwani ambayo marudio huiona kweli baada ya tafsiri, na njia ya kurudi kwa anwani hiyo badala ya subnet ya awali.

Kesi ya pili: sera haikuruhusu kamwe

Kesi iliyo kinyume ni rahisi na ya kawaida kuliko inavyoonekana: ofisi moja inapaswa kutumia huduma kuu na haipaswi kuanzisha muunganisho kuelekea kituo kamwe. Utengano huo ni uamuzi wa ufikiaji uliokusudiwa, na handaki hufanya kazi kama ilivyoundwa. Soma sera ya ufikiaji kabla ya kubadilisha mpangilio wowote wa handaki. Hati, sio kunasa pakiti, husema mwelekeo gani ulikusudiwa. Kunasa kunaweza kuonyesha tu kilichotokea, sio kilichoruhusiwa.

Ikiwa uanzishaji wa pande mbili unahitajika kweli, ongeza ruhusa ya huduma maalum kupitia seti ya kanuni inayotumika ya jukwaa. Kufanya kila subnet kuaminiana ili kurekebisha programu moja hubadilisha hitaji dogo kuwa ruhusa pana, na biashara hiyo hupitiwa upya mara chache baadaye.

Linganisha kabla na baada kwenye wenyeji wale wale

Tazama ncha zote mbili za jaribio moja, sio majaribio mawili tofauti. Nasa kwenye lango la mwenyeji anayeanzisha na kwenye marudio, kisha linganisha kilichoingia, kilichotoka na anwani gani upande wa mbali uliona.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Ikiwa kunasa kwenye marudio kunaonyesha ombi likiwa na anwani ya chanzo isiyotarajiwa, jibu liko kwenye tafsiri au uelekezaji, sio kwenye sera ya usalama ya handaki. Ikiwa marudio hayaonyeshi ombi lolote, pakiti haikuvuka kamwe njia iliyolindwa.

Baada ya marekebisho, rudia jaribio lile lile kutoka kwa mwenyeji yule yule na uthibitisha kwamba ufikiaji usiohusiana bado unakataliwa. Hali ya handaki “established” haisaidii hitimisho lolote kati ya haya mawili peke yake.