Bir VPN kaynağı neden çalışır da diğeri neden zaman aşımına uğrar

Bir özel hizmet tünelden yüklenir ve sonraki zaman aşımına uğrar, ve tüm istemci profilini yeniden kurma cazibesi belirir. Çalışan hizmet, sıfırdan başlamak için bir neden olarak değil, bir kontrol olarak daha faydalıdır. Yalnızca bir hedefin, bir bağlantı noktasının ve bir yetkilendirme yolunun karşılandığını kanıtlar, fazlasını değil.

Aynı ağ geçidindeki iki hizmete farklı adres aileleri, farklı alt ağlar ve farklı politikalarla erişilebilir.

Çalışan akışı başarısız olandan ayırın

Her hizmeti VPN'in belirtisi olarak değil, kendi akışı olarak ele alın. Örnek bir istemci portal.corp.example adresini 172.20.4.15:443 üzerinde açabilir ve yine de 172.20.9.40:5432 adresindeki bir veritabanına ulaşamayabilir, çünkü bunlar iki kural kümesi olan iki hedeftir. Herhangi bir şeyi değiştirmeden önce bağlantı noktası ve protokol dahil iki satırı da yazın, çünkü bir ana makinede TCP 443'e izin veren kural aynı ana makinedeki TCP 5432 hakkında hiçbir şey söylemez.

Araştırılacak satır başarısız olan satırdır. Çalışan satır yalnızca temel çizginin nerede olduğunu söyler ve her değişiklikten sonra karşılaştırma noktası olur.

Adları karşılaştırmadan önce adresleri karşılaştırın

Her tam adı uygulamanın gerçekte kullandığı politikayla çözün, sonra seçtiği adres ailesini kaydedin. Bir ad IPv6 adresi döndürürken diğeri IPv4 döndürebilir ve eski önbelleğe alınmış bir yanıt, özel hizmetle hiçbir ilgisi olmayan bir genel adrese istek gönderebilir.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Arama dar bir soruyu yanıtlar: mevcut tablolar ve politika kuralları verildiğinde bu ana makine o hedef için hangi yolu seçer. 172.20.4.0/24 için yol 172.20.9.0/24 adresini kapsamaz ve ikinci bir ağ yöneticisi ya da daha iyi özgüllüğe sahip yerel bir yol tünelin üzerine sessizce yazabilir. Ad alanının içinde veya uygulamanın kullandığı işaretle aramayı yineleyin, bunlar kabuğunuzdan farklı olduğunda. Paketin çıktığı arayüzü de kaydedin, çünkü yol tablosu bir arayüzü adlandırırken politika yönlendirmesi akışı başka bir arayüzden çıkarabilir.

Eşleşen bir yol gerekli bir koşuldur, izin değil. Paketin gidecek bir yeri olduğunu söyler ve bir güvenlik duvarının, yetkilendirme hizmetinin veya ana makinenin kendisinin onu kabul edip etmeyeceği hakkında hiçbir şey söylemez.

Protokol ve yanıt aşaması nerede durduğunu söyler

Ping yanıtı bir veritabanı bağlantı noktasının açık olduğunu kanıtlamaz ve başarılı bir HTTPS sayfası aynı makinede dosya paylaşımını yetkilendirmez. Her başarısızlığı tek bir kategoriye düzleştirmek yerine gerçekte neyin döndüğünü kaydedin. Zaman aşımı, sıfırlama, TLS kimlik hatası ve uygulama düzeyinde ret her biri farklı bir katmana işaret eder.

Ayrım önemlidir çünkü düzeltmeler ayrışır. Sessizlik genellikle yolda bir yol, güvenlik duvarı veya çeviri sorunu anlamına gelir. Ani sıfırlama bir şeyin ana makineye ulaştığını ve bağlantı noktasını reddettiğini gösterir. Sertifika hatası bağlantının ulaştığını ve adın eşleşmediğini gösterir, bu bir yapılandırma sorunudur, erişilebilirlik değil. Uygulama reddi, ağın işini yaptığını ve kimliğin sonradan reddedildiğini gösterir.

Bir kaynak ağ geçidi üzerinden yayımlandığında, hedefin gördüğü kaynak adresi istemcinizin kullandığını düşündüğü kaynakla karşılaştırın. Ağ geçidinin kendisinden kaynaklanan bir istek başarılı olabilirken aynı istek istemciden geldiğinde başarısız olur, çünkü ikisi farklı adreslerden gelir ve farklı kurallarla karşılaşır.

Bir değişkeni değiştirin ve iki isteği yeniden çalıştırın

Kimlik, insanların en son baktığı ve doğru bir reddin ilk göründüğü yerdir. VPN oturum açma, dizin grubu ve uygulama hesabı ayrışabilecek üç ayrı kimliktir. Bir portala erişim asla arkasındaki veritabanına erişim anlamına gelmez ve bir dizindeki ad diğerinde bir satır oluşturmaz. Hizmet kullanıcının amaçlanan kapsamı dışındaysa, o ret sistemin çalıştığını gösterir.

Geniş bir yol eklemek veya bir grubu test olarak açmak yerine kaynak sahibinden amaçlanan hakkı doğrulamasını isteyin. Bir noktayı kanıtlamak için ağı genişletmek, geçici bir teşhisin kalıcı bir maruziyete dönüşme yoludur ve başladığınız kontrolü yok eder. Yineleme başına kanıtlanmış tek bir uyumsuzluk yeterlidir: eksik bir yol, yanlış adres ailesi, engellenmiş bir bağlantı noktası veya eksik grup üyeliği.

Her değişiklikten sonra iki isteği yineleyin ve çıktıları yan yana tutun. Araştırma, başarısız hizmet kendi politikası altında çalıştığında ve çalışan hizmet ile hâlâ beklediğiniz retler tam olarak eskisi gibi davrandığında sona erer.