Bakit gumagana ang isang VPN resource at ang isa ay nag-time out

Isang pribadong serbisyo ang naglo-load sa tunnel at ang susunod ay nag-time out, at ang tukso ay buuin muli ang buong profile ng kliyente. Ang gumaganang serbisyo ay mas kapaki-pakinabang bilang kontrol kaysa bilang dahilan para magsimula muli. Pinatutunayan nito na isang destinasyon, isang port at isang landas ng awtorisasyon ang natupad, at wala nang higit pa.

Dalawang serbisyo sa parehong gateway ay maaaring maabot sa pamamagitan ng magkaibang pamilya ng address, magkaibang subnet at magkaibang patakaran.

Paghiwalayin ang gumaganang daloy sa nabibigo

Ituring ang bawat serbisyo bilang sarili nitong daloy at hindi bilang sintomas ng VPN. Makakapagbukas ang isang halimbawang kliyente ng portal.corp.example sa 172.20.4.15:443 at maaaring hindi pa rin maabot ang isang database sa 172.20.9.40:5432, dahil dalawang destinasyon iyon na may dalawang set ng patakaran. Isulat ang dalawang hilera bago baguhin ang anuman, kasama ang port at protocol, dahil ang patakarang nagpapahintulot ng TCP 443 sa isang host ay walang sinasabi tungkol sa TCP 5432 sa parehong host.

Ang nabibigong hilera ang dapat imbestigahan. Ang gumaganang hilera ay nagsasabi lamang kung saan ang baseline, at ito ang magiging punto ng paghahambing pagkatapos ng bawat pagbabago.

Ihambing ang mga address bago ang mga pangalan

Resolbahin ang bawat buong pangalan sa patakarang talagang ginagamit ng aplikasyon, pagkatapos itala ang napiling pamilya ng address. Ang isang pangalan ay maaaring magbalik ng IPv6 address habang ang isa ay IPv4, at ang lumang naka-cache na sagot ay maaaring magpadala ng kahilingan sa isang pampublikong address na walang kaugnayan sa pribadong serbisyo.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Sinasagot ng paghahanap ang makitid na tanong: aling ruta ang pipiliin ng host na ito para sa destinasyong iyon, dahil sa kasalukuyang mga talahanayan at mga patakaran ng patakaran. Ang ruta para sa 172.20.4.0/24 ay hindi sumasakop sa 172.20.9.0/24, at ang ikalawang tagapamahala ng network o isang lokal na ruta na may mas mahusay na pagiging tiyak ay maaaring tahimik na manaig sa tunnel. Ulitin ang paghahanap sa loob ng namespace o gamit ang markang ginagamit ng aplikasyon kapag ang mga iyon ay naiiba sa iyong shell. Itala rin ang interface na nilalabasan ng packet, dahil ang talahanayan ng ruta ay maaaring magpangalan ng isang interface habang ang routing na batay sa patakaran ay nagpapadala ng daloy sa iba.

Ang rutang tumutugma ay isang kinakailangang kondisyon, hindi pahintulot. Sinasabi nito na may pupuntahan ang packet at wala itong sinasabi tungkol sa kung tatanggapin ito ng firewall, serbisyo ng awtorisasyon o ng host mismo.

Ang protocol at yugto ng tugon ay nagsasabi kung saan ito humihinto

Ang tugon ng ping ay hindi nagpapatunay na bukas ang isang database port, at ang matagumpay na pahina ng HTTPS ay hindi nagbibigay ng awtorisasyon sa pagbabahagi ng file sa parehong makina. Itala ang talagang bumalik sa halip na patagin ang bawat kabiguan sa isang kategorya. Ang timeout, reset, error sa pagkakakilanlan ng TLS at pagtanggi sa antas ng aplikasyon ay bawat isa ay tumuturo sa ibang layer.

Mahalaga ang pagkakaiba dahil nagkakaiba ang mga pagwawasto. Ang katahimikan ay karaniwang nangangahulugan ng problema sa ruta, firewall o pagsasalin sa landas. Ang agarang reset ay nagmumungkahi na may nakarating sa host at tumanggi sa port. Ang error sa sertipiko ay nangangahulugan na dumating ang koneksyon at hindi tumugma ang pangalan, na problema sa configuration at hindi sa maabot. Ang pagtanggi ng aplikasyon ay nangangahulugan na ginawa ng network ang trabaho nito at tinanggihan ang pagkakakilanlan pagkatapos.

Kapag ang isang resource ay inilathala sa pamamagitan ng gateway, ihambing ang source address na nakikita ng destinasyon sa source na inaakala ng iyong kliyente na ginagamit nito. Ang kahilingang nagmula sa gateway mismo ay maaaring magtagumpay habang ang parehong kahilingan mula sa kliyente ay nabibigo, dahil ang dalawa ay nagmumula sa magkaibang address at nakatagpo ng magkaibang patakaran.

Baguhin ang isang variable at muling patakbuhin ang dalawang kahilingan

Ang pagkakakilanlan ang huling lugar na tinitingnan ng mga tao at ang unang lugar kung saan lumilitaw ang tamang pagtanggi. Ang pag-login sa VPN, grupo sa direktoryo at account ng aplikasyon ay tatlong magkahiwalay na pagkakakilanlan na maaaring magkaiba. Ang pag-access sa portal ay hindi kailanman nangangahulugan ng pag-access sa database sa likod nito, at ang isang pangalan sa isang direktoryo ay hindi gumagawa ng hilera sa iba. Kung ang serbisyo ay nasa labas ng inilaan na saklaw ng gumagamit, ang pagtanggi ay ang sistema na gumagana.

Hilingin sa may-ari ng resource na kumpirmahin ang inilaan na karapatan sa halip na magdagdag ng malawak na ruta o magbukas ng grupo bilang pagsubok. Ang pagpapalawak ng network para patunayan ang isang punto ay ang paraan kung saan ang pansamantalang diagnostic ay nagiging permanenteng pagkakalantad, at sinisira nito ang kontrol na sinimulan mo. Ang isang naipakita na hindi pagkakatugma sa bawat pag-ulit ay sapat: nawawalang ruta, maling pamilya ng address, naka-block na port o nawawalang pagiging miyembro ng grupo.

Pagkatapos ng bawat pagbabago, ulitin ang dalawang kahilingan at panatilihing magkatabi ang mga output. Nagtatapos ang pagsisiyasat kapag gumagana ang nabigong serbisyo sa ilalim ng sarili nitong patakaran, habang ang gumaganang serbisyo at ang mga pagtangging inaasahan mo pa rin ay kumikilos nang eksakto tulad ng dati.