సైట్-టు-సైట్ VPN ఒకే దిశలో పనిచేస్తుంది: రెండు వేర్వేరు లోపాలు

సైట్ A, B ను చేరుకుంటుంది, B, A ను చేరుకోలేదు, మరియు సొరంగం రెండు దిశల్లోనూ సరిగ్గా కనిపిస్తుంది. సొరంగాన్ని తాకే ముందు మీకు నిజంగా ఏ లోపం ఉందో నిర్ణయించండి. B వద్ద ప్రారంభమై తిరస్కరించబడే కొత్త కనెక్షన్ మరియు A వద్ద ప్రారంభమైన కనెక్షన్కు ఎప్పటికీ రాని ప్రతిస్పందన సమాన ఫిర్యాదులు మరియు పూర్తిగా భిన్నమైన నిర్ధారణలను కలిగిస్తాయి. ఒకటి మార్గంలోని విధానం లేదా రూట్ సమస్య; మరొకటి ఇప్పటికే అనుమతించిన ట్రాఫిక్ కోసం తిరిగి వచ్చే మార్గం లేదా స్థితి సమస్య.

ఈ భేదమే ఏ ఆదేశాలను నడపడం విలువైనదో నిర్ణయిస్తుంది.

ఒకేలా కనిపించే రెండు లోపాలు

మొదటి సందర్భంలో B యొక్క హోస్ట్ A కు SYN పంపుతుంది, ఏమీ తిరిగి రాదు. రెండవదానిలో A యొక్క హోస్ట్ విజయవంతంగా సెషన్ తెరుస్తుంది మరియు ప్రతిస్పందన తిరిగి వచ్చే మార్గంలో మాయమవుతుంది. ఇద్దరు వినియోగదారులు కనెక్షన్ ఒకే దిశ అని చెబుతారు, ఇద్దరూ మాయమైన ప్యాకెట్ను వివరిస్తారు, కాబట్టి వివరణ మాత్రమే వారిని వేరు చేయలేదు.

విఫలమైన ప్రయత్నాన్ని ఏ వైపు ప్రారంభించిందో అడగండి. ఆ ఒక్క వాస్తవం సాధ్యమైన కారణాల్లో సగాన్ని తొలగిస్తుంది.

తర్వాత పరీక్ష మొదటి నుండి చివరి వరకు అదే హోస్ట్లను మరియు అదే సేవను ఉపయోగించిందో నిర్ధారించుకోండి. ఒక వైపు నుండి ping మరియు మరో వైపు నుండి ఫైల్ షేరింగ్ కనెక్షన్ రెండు వేర్వేరు విషయాలను పరీక్షిస్తాయి, మరియు గేట్వే నుండి తీసుకున్న నిర్ధారణ ఏ వినియోగదారు ట్రాఫిక్ ఉపయోగించని సొరంగ చిరునామాను ఎంచుకోవచ్చు.

మొదటి సందర్భం: తిరిగి వచ్చే మార్గం లేదు

మరో డిఫాల్ట్ గేట్వే ద్వారా సమాధానమిచ్చే దూర సర్వర్ అభ్యర్థనను స్వీకరించి ప్రతిస్పందనను వేరే చోటికి రూట్ చేయవచ్చు. అప్పుడు స్థితిని ట్రాక్ చేసే ఫైర్వాల్లు అసమతుల్య ప్రతిస్పందనను పడవేస్తాయి, ఎందుకంటే అది స్థాపించిన ప్రవాహంతో సరిపోలదు, ఇది ఎప్పుడూ పనిచేయని దిశలాగానే కనిపిస్తుంది. అనువాదం మరో రూపాన్ని జోడిస్తుంది: గమ్యం అనువదించిన మూలాన్ని చూసి దానికి సమాధానమిస్తుంది, కాబట్టి అసలు చిరునామా కోసం రాసిన నియమం ఎప్పటికీ సరిపోలదు.

అనువాదం తర్వాత గమ్యం నిజంగా చూసే చిరునామాను మరియు అసలు సబ్నెట్కు బదులుగా ఆ చిరునామా కోసం తిరిగి వచ్చే మార్గాన్ని తనిఖీ చేయండి.

రెండవ సందర్భం: విధానం దీన్ని ఎప్పుడూ అనుమతించలేదు

వ్యతిరేక సందర్భం కనిపించే దాని కంటే సరళమైనది మరియు సాధారణమైనది: ఒక కార్యాలయం కేంద్ర సేవను వినియోగించాలి మరియు కేంద్రం వైపు ఎప్పుడూ కనెక్షన్లు ప్రారంభించకూడదు. ఆ అసమతుల్యత ఉద్దేశపూర్వకంగా తీసుకున్న యాక్సెస్ నిర్ణయం, మరియు సొరంగం రూపకల్పన ప్రకారం పనిచేస్తోంది. ఏదైనా సొరంగ సెట్టింగ్ను మార్చే ముందు యాక్సెస్ విధానాన్ని చదవండి. ఏ దిశ ఉద్దేశించబడిందో పత్రం చెబుతుంది, ప్యాకెట్ క్యాప్చర్ కాదు. క్యాప్చర్ ఏమి జరిగిందో మాత్రమే చూపగలదు, దేనికి అనుమతి ఉందో కాదు.

రెండు దిశల నుండి ప్రారంభం నిజంగా అవసరమైతే, ప్లాట్ఫారమ్ మద్దతు ఇచ్చే నియమ సమితి ద్వారా ఆ నిర్దిష్ట సేవకు అనుమతిని జోడించండి. ఒక అప్లికేషన్ను సరిచేయడానికి ప్రతి సబ్నెట్ను పరస్పర విశ్వసనీయంగా చేయడం సన్నని అవసరాన్ని విస్తృత అనుమతిగా మారుస్తుంది, మరియు ఆ మార్పిడి తర్వాత అరుదుగా సమీక్షించబడుతుంది.

అదే హోస్ట్లపై ముందు మరియు తర్వాత పోల్చండి

రెండు వేర్వేరు ప్రయత్నాలు కాదు, ఒకే ప్రయత్నం యొక్క రెండు చివరలను గమనించండి. ప్రారంభించే హోస్ట్ యొక్క గేట్వే మరియు గమ్యం వద్ద క్యాప్చర్ చేయండి, తర్వాత ఏమి లోపలికి వచ్చింది, ఏమి బయటకు వెళ్ళింది మరియు దూరపు వైపు ఏ చిరునామాను చూసిందో పోల్చండి.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

గమ్యం వద్ద క్యాప్చర్ అభ్యర్థనను ఊహించని మూల చిరునామాతో చూపిస్తే, సమాధానం అనువాదంలో లేదా రూటింగ్లో ఉంది, సొరంగ భద్రతా విధానంలో కాదు. గమ్యం ఏ అభ్యర్థననూ చూపకపోతే, ప్యాకెట్ రక్షిత మార్గాన్ని ఎప్పుడూ దాటలేదు.

సవరణ తర్వాత అదే హోస్ట్ నుండి అదే పరీక్షను పునరావృతం చేయండి మరియు సంబంధం లేని యాక్సెస్ ఇప్పటికీ తిరస్కరించబడుతున్నట్లు నిర్ధారించండి. “established” సొరంగ స్థితి ఒంటరిగా రెండు నిర్ణయాలలో దేనినీ సమర్థించదు.