TCP працює, а UDP на тому самому порту потрапляє на інший сервер

Профіль працює через TCP і зазнає невдачі через UDP із попередженням про сертифікат. Інтуїтивне прочитання таке: шлях UDP порушив довіру, а інтуїтивне виправлення — прийняти сертифікат. Обидва припущення оминають можливість, яка повністю пояснює симптом: два транспорти потрапили на різні машини. Правило пересилання зіставляється окремо для кожного протоколу, і ніщо не змушує половини TCP і UDP одного номера порту вказувати на той самий хост.

Один номер порту, два незалежні правила

Пересилання — це пошук у таблиці за протоколом, адресою призначення й портом. Шлюз із правилом для TCP 1194 і правилом для UDP 1194 виражає два незалежні рішення, і вони можуть називати різні внутрішні хости. Спільний номер — це зручність для людей, а не властивість, яку нав'язує мережа. Ставтеся до номера порту як до мітки, а не як до визначення служби.

Дивіться на чинні правила, а не на задумані. Адреса призначення, трансляційний порт і вхідний інтерфейс беруть участь усі, а правило, що лишилося від попередньої міграції, — звичайна причина того, що половини не збігаються.

Запишіть обидва відображення, перш ніж змінювати будь-що інше. Пара рядків і є вся гіпотеза.

Що клієнт справді перевірив

Під час рукостискання клієнт перевіряє сертифікат за налаштованою довірою і за очікуваним іменем. Неочікуваний сертифікат — це успішна перевірка, що не пройшла перевірку тотожності, і це правильний результат, коли співрозмовник не той, до кого ви хотіли потрапити. Його відхилення доводить, що клієнт працює, а не що транспорт зламаний. Читайте повідомлене ім'я раніше за повідомлений ланцюжок, бо саме ім'я клієнт порівнював.

Різниця важлива, бо дві помилки ведуть до різних виправлень. Проблема довіри потребує виправлення довіри, тоді як неочікуваний співрозмовник потребує виправлення маршрутизації або пересилання.

Занотуйте, яку тотожність повідомив клієнт. Це ім'я — найсильніша підказка про те, яка машина відповіла.

Зіставте спробу із сервером

Запишіть профіль, публічну адресу, транспорт і порт, які використав клієнт. Потім зіставте час спроби з журналом сервера, до якого ви хотіли потрапити. Його відсутність — це зачіпка, а не доказ відкидання міжмережевим екраном, бо рівні журналювання різняться між розгортаннями. Позначка часу разом з адресою джерела звужує пошук сильніше, ніж кожна з них окремо.

Порівняйте тотожність сертифіката, з яким ви зіткнулися, з очікуваною тотожністю через адміністративний канал. Саме це порівняння поза каналом зберігає перевірку надійною.

Перевірте старі правила пересилання, альтернативні слухачі та будь-який шлях балансування навантаження, перш ніж дійти висновку, що обидва транспорти поділяють серверну частину. Кожен із них може перенаправити потік, не торкаючись іншого транспорту.

Не підганяйте довіру під хибного співрозмовника

Імпорт неочікуваного CA змушує симптом зникнути й змінює те, кому клієнт довіряє. Це гірший стан, ніж невдале з'єднання, бо він приховує розбіжність замість того, щоб її усунути. Те саме стосується вимкнення перевірки лише для того, щоб побачити, чи піднімається тунель.

Якщо співрозмовник виявиться законним, але ненавмисним, правильна дія — вивести його з експлуатації або спрямувати правило на потрібний хост. Сховище довіри — не місце для узгодження помилки в описі.

Збережіть текст відмови. Це єдиний запис про те, що бачив клієнт.

Після виправлення перевірте новий потік

Виправте відображення і потім підключіться новим сеансом клієнта. Трансляція з урахуванням стану може тримати наявний потік на старому призначенні, тож установлене з'єднання може пережити зміну й ввести вас в оману. Почніть нове й підтвердьте за журналом потрібного сервера, що він обробив спробу.

Якщо обидва транспорти доведено досягають одного сервера й усе одно поводяться по-різному, залишкова різниця — це власні слухачі та конфігурація цього сервера. Порівняння транспортів має сенс лише після того, як тотожність кінцевої точки зафіксовано.