Saytlararo VPN faqat bir yo'nalishda ishlaydi: ikki xil nosozlik

A sayti B ga yetadi, B esa A ga yeta olmaydi, tunnel ikkala yo'nalishda ham yaxshi ko'rinadi. Tunnelga tegishdan oldin sizda qaysi nosozlik borligini aniqlang. B da boshlangan va rad etilgan yangi ulanish hamda A da boshlangan ulanishga hech qachon yetib kelmaydigan javob o'xshash shikoyatlar va butunlay boshqa tashxislar keltiradi. Biri yo'ldagi siyosat yoki marshrut muammosi; ikkinchisi allaqachon ruxsat berilgan trafik uchun qaytish yo'li yoki holat muammosi.

Aynan shu farq qaysi buyruqlarni bajarish arziydiganini belgilaydi.

Bir xil ko'rinadigan ikki nosozlik

Birinchi holatda B hosti A ga SYN yuboradi va hech narsa qaytmaydi. Ikkinchisida A hosti sessiyani muvaffaqiyatli ochadi va javob qaytish yo'lida yo'qoladi. Ikkala foydalanuvchi ham ulanish bir tomonlama deb aytadi va ikkisi ham yo'qolgan paketni tasvirlaydi, shuning uchun faqat tasvir ularni ajrata olmaydi.

Muvaffaqiyatsiz urinishni qaysi tomon boshlaganini so'rang. Shu bitta fakt mumkin bo'lgan sabablarning yarmini yo'q qiladi.

Keyin sinov boshidan oxirigacha bir xil hostlar va bir xil xizmatdan foydalanganini tekshiring. Bir tomondan ping va boshqa tomondan fayl almashish ulanishi ikki xil narsani sinaydi, shlyuzdan olingan tashxis esa hech bir foydalanuvchi trafigi ishlatmaydigan tunnel manzilini tanlashi mumkin.

Birinchi holat: qaytish yo'li yo'q

Boshqa standart shlyuz orqali javob beradigan masofaviy server so'rovni qabul qilib, javobni boshqa joyga yo'naltirishi mumkin. Shunda holatni kuzatuvchi tarmoq to'siqlari assimetrik javobni tashlab yuboradi, chunki u o'rnatilgan oqimga mos kelmaydi, bu esa hech qachon ishlamagan yo'nalishga aynan o'xshaydi. Tarjima yana bir variant qo'shadi: manzil tarjima qilingan manbani ko'radi va unga javob beradi, shuning uchun asl manzil uchun yozilgan qoida hech qachon mos kelmaydi.

Tarjimadan keyin manzil haqiqatan ko'radigan manzilni va qaytish marshrutini asl quyi tarmoq uchun emas, shu manzil uchun tekshiring.

Ikkinchi holat: siyosat bunga hech qachon ruxsat bermagan

Qarama-qarshi holat ko'ringanidan sodda va keng tarqalgan: bitta ofis markaziy xizmatdan foydalanishi va markazga hech qachon ulanish boshlamasligi kerak. Bu assimetriya ataylab qabul qilingan kirish qarori, tunnel esa loyihalangandek ishlaydi. Har qanday tunnel sozlamasini o'zgartirishdan oldin kirish siyosatini o'qing. Qaysi yo'nalish nazarda tutilganini hujjat aytadi, paket ushlash emas. Ushlash faqat nima bo'lganini ko'rsatadi, nimaga ruxsat berilganini emas.

Agar ikki tomonlama boshlash haqiqatan zarur bo'lsa, platforma qo'llab-quvvatlaydigan qoidalar to'plami orqali aniq xizmatga ruxsat qo'shing. Bitta ilovani tuzatish uchun har bir quyi tarmoqni o'zaro ishonchli qilish tor talabni keng ruxsatga aylantiradi va bu almashinuv keyin kamdan-kam qayta ko'rib chiqiladi.

Bir xil hostlarda oldin va keyingi holatni solishtiring

Ikki alohida urinishni emas, bitta urinishning ikki uchini kuzating. Boshlovchi hostning shlyuzida va manzilda ushlang, keyin nima kirdi, nima chiqdi va uzoq tomon qaysi manzilni ko'rganini solishtiring.

tcpdump -ni any host 10.20.30.40 and port 445
conntrack -L | grep 10.20.30.40
ip route get 10.20.30.40
swanctl --list-sas

Agar manzildagi ushlash so'rovni kutilmagan manba manzili bilan ko'rsatsa, javob tarjimada yoki marshrutlashda, tunnelning xavfsizlik siyosatida emas. Agar manzil umuman so'rov ko'rsatmasa, paket himoyalangan yo'ldan hech qachon o'tmagan.

Tuzatishdan keyin o'sha hostdan o'sha sinovni takrorlang va aloqasiz kirish hali ham rad etilishini tasdiqlang. “established” tunnel holati yolg'iz o'zi ikki xulosadan hech birini tasdiqlamaydi.