TCP ทำงานได้ แต่ UDP ไปถึงเซิร์ฟเวอร์อื่นบนพอร์ตเดียวกัน

โปรไฟล์ทำงานบน TCP และล้มเหลวบน UDP พร้อมคำเตือนเกี่ยวกับใบรับรอง การอ่านตามสัญชาตญาณคือเส้นทาง UDP ทำให้ความเชื่อถือแตก และวิธีแก้ตามสัญชาตญาณคือยอมรับใบรับรอง สมมติฐานทั้งสองข้ามความเป็นไปได้หนึ่งอย่างที่อธิบายอาการได้ทั้งหมด คือการขนส่งทั้งสองไปถึงเครื่องที่ต่างกัน กฎการส่งต่อถูกจับคู่ตามโปรโตคอล และไม่มีอะไรบังคับให้ครึ่ง TCP กับ UDP ของหมายเลขพอร์ตเดียวชี้ไปที่โฮสต์เดียวกัน

หมายเลขพอร์ตเดียว กฎสองข้อที่เป็นอิสระต่อกัน

การส่งต่อคือการค้นหาในตารางตามโปรโตคอล ที่อยู่ปลายทาง และพอร์ต เกตเวย์ที่มีกฎสำหรับ TCP 1194 และกฎสำหรับ UDP 1194 กำลังแสดงการตัดสินใจสองอย่างที่เป็นอิสระต่อกัน และกฎเหล่านี้อาจระบุโฮสต์ภายในที่ต่างกัน หมายเลขที่ใช้ร่วมกันเป็นความสะดวกสำหรับมนุษย์ ไม่ใช่คุณสมบัติที่เครือข่ายบังคับ ควรถือว่าหมายเลขพอร์ตเป็นป้ายกำกับ ไม่ใช่คำจำกัดความของบริการ

ดูที่กฎที่มีผลจริง ไม่ใช่กฎที่ตั้งใจไว้ ที่อยู่ปลายทาง พอร์ตที่แปลแล้ว และอินเทอร์เฟซขาเข้าล้วนมีส่วนร่วม และกฎที่ตกค้างจากการย้ายระบบครั้งก่อนคือสาเหตุปกติที่ครึ่งทั้งสองไม่ตรงกัน

เขียนการแมปทั้งสองลงไปก่อนเปลี่ยนสิ่งอื่นใด คู่บรรทัดนี้คือสมมติฐานทั้งหมด

สิ่งที่ไคลเอนต์ตรวจสอบจริง

ระหว่างการจับมือไคลเอนต์ตรวจใบรับรองเทียบกับความเชื่อถือที่กำหนดไว้และเทียบกับชื่อที่คาดหวัง ใบรับรองที่ไม่คาดคิดคือการตรวจสอบที่สำเร็จแต่ไม่ผ่านการยืนยันตัวตน ซึ่งเป็นผลลัพธ์ที่ถูกต้องเมื่ออีกฝ่ายไม่ใช่ฝ่ายที่คุณตั้งใจจะไปถึง การปฏิเสธใบรับรองจึงเป็นหลักฐานว่าไคลเอนต์ทำงาน ไม่ใช่หลักฐานว่าการขนส่งเสีย อ่านชื่อที่รายงานก่อนอ่านห่วงโซ่ที่รายงาน เพราะชื่อคือสิ่งที่ไคลเอนต์นำไปเปรียบเทียบ

ความแตกต่างนี้สำคัญเพราะความล้มเหลวสองแบบนำไปสู่การแก้ไขที่ต่างกัน ปัญหาความเชื่อถือต้องแก้ที่ความเชื่อถือ ขณะที่อีกฝ่ายที่ไม่คาดคิดต้องแก้ที่การกำหนดเส้นทางหรือการส่งต่อ

บันทึกว่าไคลเอนต์รายงานตัวตนใด ชื่อนั้นเป็นเบาะแสที่แข็งแรงที่สุดว่าเครื่องใดเป็นผู้ตอบ

เชื่อมโยงความพยายามกับเซิร์ฟเวอร์

บันทึกโปรไฟล์ ที่อยู่สาธารณะ การขนส่ง และพอร์ตที่ไคลเอนต์ใช้ จากนั้นจับคู่เวลาของความพยายามกับบันทึกของเซิร์ฟเวอร์ที่คุณตั้งใจจะไปถึง การไม่มีอยู่ที่นั่นเป็นเบาะแส ไม่ใช่ข้อพิสูจน์ว่าไฟร์วอลล์ทิ้งแพ็กเก็ต เพราะระดับการบันทึกแตกต่างกันระหว่างการติดตั้งแต่ละครั้ง ประทับเวลาและที่อยู่ต้นทางรวมกันจำกัดได้มากกว่าอย่างใดอย่างหนึ่งเพียงลำพัง

เปรียบเทียบตัวตนของใบรับรองที่คุณพบกับตัวตนที่คาดหวังผ่านช่องทางบริหารจัดการ การเปรียบเทียบนอกช่องทางนี้เองที่ทำให้การตรวจสอบน่าเชื่อถือ

ตรวจกฎการส่งต่อเก่า ผู้รับฟังทางเลือก และเส้นทางสมดุลโหลดใด ๆ ก่อนสรุปว่าการขนส่งทั้งสองใช้แบ็กเอนด์ร่วมกัน แต่ละอย่างสามารถเปลี่ยนเส้นทางของโฟลว์โดยไม่แตะการขนส่งอีกฝั่ง

อย่าปรับความเชื่อถือให้เข้ากับอีกฝ่ายที่ผิด

การนำเข้า CA ที่ไม่คาดคิดทำให้อาการหายไปและเปลี่ยนว่าไคลเอนต์เชื่อถือใคร นี่เป็นสภาวะที่แย่กว่าการเชื่อมต่อที่ล้มเหลว เพราะมันซ่อนความไม่ตรงกันแทนที่จะแก้ไข สิ่งเดียวกันใช้กับการปิดการตรวจสอบเพียงเพื่อดูว่าอุโมงค์ขึ้นมาหรือไม่

หากอีกฝ่ายกลายเป็นฝ่ายที่ชอบด้วยกฎหมายแต่ไม่ได้ตั้งใจ การกระทำที่ถูกต้องคือปลดระวางหรือชี้กฎไปที่โฮสต์ที่ถูกต้อง ที่เก็บความเชื่อถือไม่ใช่ที่สำหรับปรับความผิดพลาดของบัญชีสินค้า

เก็บข้อความการปฏิเสธไว้ มันเป็นบันทึกเดียวของสิ่งที่ไคลเอนต์เห็น

หลังการแก้ไข ทดสอบโฟลว์ใหม่

แก้การแมปแล้วเชื่อมต่อด้วยเซสชันไคลเอนต์ใหม่ การแปลที่มีสถานะอาจทำให้โฟลว์ที่มีอยู่ยังชี้ไปที่ปลายทางเดิม ดังนั้นการเชื่อมต่อที่สร้างไว้แล้วอาจอยู่รอดจากการเปลี่ยนแปลงและทำให้คุณเข้าใจผิด เริ่มใหม่และยืนยันจากบันทึกของเซิร์ฟเวอร์ที่ตั้งใจว่ามันจัดการความพยายามนั้น

หากการขนส่งทั้งสองไปถึงเซิร์ฟเวอร์เดียวกันได้อย่างพิสูจน์ได้และยังทำงานต่างกัน ความแตกต่างที่เหลือคือผู้รับฟังและการกำหนดค่าของเซิร์ฟเวอร์นั้นเอง การเปรียบเทียบการขนส่งจะมีความหมายก็ต่อเมื่อตัวตนของปลายทางถูกกำหนดแน่นอนแล้ว