Ang site-to-site VPN ay gumagana sa isang direksyon lang: dalawang magkaibang sira

Naabot ng site A ang B, hindi naabot ng B ang A, at mukhang maayos ang tunnel sa dalawang direksyon. Bago hawakan ang tunnel, magpasya kung aling sira talaga ang mayroon ka. Ang bagong koneksyong sinimulan sa B at tinanggihan at ang tugon sa koneksyong sinimulan sa A na hindi kailanman dumarating ay gumagawa ng magkatulad na reklamo at lubos na magkaibang diagnosis. Ang isa ay problema sa patakaran o ruta sa daan; ang isa ay problema sa daan ng pagbalik o estado para sa trapikong pinayagan na.

Ang pagkakaibang iyon ang nagtatakda kung aling mga utos ang sulit patakbuhin.

Dalawang sirang magkatulad ang hitsura

Sa unang kaso, nagpapadala ang host ng B ng SYN sa A, at walang bumabalik. Sa pangalawa, matagumpay na nagbubukas ng sesyon ang host ng A at nawawala ang tugon sa daan ng pagbalik. Pareho ng sinasabi ng dalawang user na isang direksyon lang ang link, at parehong inilalarawan ang packet na nawala, kaya ang paglalarawan lang ay hindi makapaghihiwalay sa kanila.

Itanong kung aling panig ang nagsimula ng nabigong pagtatangka. Ang isang katotohanang iyon ay nagtatanggal ng kalahati ng posibleng dahilan.

Pagkatapos, tiyakin na ang pagsubok ay gumamit ng parehong host at parehong serbisyo sa buong oras. Ang ping mula sa isang panig at ang koneksyon sa shared folder mula sa kabila ay sumusubok ng dalawang magkaibang bagay, at ang diagnostic mula sa gateway ay maaaring pumili ng tunnel address na hindi ginagamit ng anumang trapiko ng user.

Unang kaso: nawawala ang daan ng pagbalik

Ang malayong server na sumasagot sa ibang default gateway ay maaaring tumanggap ng kahilingan at i-ruta ang tugon sa ibang lugar. Pagkatapos, itinatapon ng mga firewall na sumusubaybay sa estado ang asymmetric na tugon dahil hindi ito tumutugma sa naitatag na daloy, na mukhang eksaktong direksyong hindi kailanman gumana. Nagdaragdag ang pagsasalin ng isa pang bersyon: nakikita ng destinasyon ang isinaling source at tumutugon dito, kaya ang patakarang isinulat para sa orihinal na address ay hindi kailanman tumutugma.

Suriin ang address na aktuwal na nakikita ng destinasyon pagkatapos ng pagsasalin, at ang rutang pabalik para sa address na iyon sa halip na para sa orihinal na subnet.

Ikalawang kaso: hindi ito pinayagan ng patakaran

Ang kabaligtarang kaso ay mas simple at mas karaniwan kaysa sa itsura nito: ang isang opisina ay dapat gumamit ng sentral na serbisyo at hindi kailanman magsimula ng koneksyon papasok sa sentro. Ang asimetriyang iyon ay sinadyang desisyon sa pag-access, at gumagana ang tunnel ayon sa disenyo. Basahin ang patakaran sa pag-access bago baguhin ang anumang setting ng tunnel. Ang dokumento, hindi ang packet capture, ang nagsasabi kung aling direksyon ang nilayon. Ang capture ay makakapagpakita lamang ng nangyari, hindi ng pinayagan.

Kung talagang kailangan ang pagpapasimula sa dalawang direksyon, idagdag ang pahintulot para sa partikular na serbisyo sa pamamagitan ng sinusuportahang set ng patakaran ng platform. Ang paggawa sa bawat subnet na magkakatiwalaan para ayusin ang isang application ay ginagawang malawak na pahintulot ang makitid na pangangailangan, at bihirang suriin muli ang palitang iyon.

Ihambing ang bago at pagkatapos sa parehong host

Obserbahan ang dalawang dulo ng iisang pagtatangka, hindi dalawang hiwalay na pagtatangka. Kumuha ng capture sa gateway ng host na nagsisimula at sa destinasyon, pagkatapos ihambing kung ano ang pumasok, ano ang lumabas at aling address ang nakita ng malayong panig.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Kung ang capture sa destinasyon ay nagpapakita ng kahilingan na may hindi inaasahang source address, ang sagot ay nasa pagsasalin o ruta, hindi sa patakaran ng seguridad ng tunnel. Kung walang kahilingang ipinapakita ang destinasyon, hindi kailanman tinawid ng packet ang protektadong daan.

Pagkatapos ng pagwawasto, ulitin ang parehong pagsubok mula sa parehong host at kumpirmahin na ang walang kaugnayang pag-access ay tinatanggihan pa rin. Ang “established” na estado ng tunnel ay hindi sumusuporta sa alinman sa dalawang konklusyon nang mag-isa.