Vì sao một tài nguyên VPN hoạt động còn tài nguyên kia hết thời gian chờ

Một dịch vụ riêng tải được qua đường hầm còn dịch vụ kế tiếp hết thời gian chờ, và ta muốn dựng lại toàn bộ hồ sơ máy khách. Dịch vụ đang hoạt động hữu ích hơn khi là mốc đối chứng so với khi là lý do để làm lại từ đầu. Nó chỉ chứng minh rằng một điểm đích, một cổng và một đường cấp quyền đã được đáp ứng, và không hơn thế.

Hai dịch vụ trên cùng một cổng kết nối có thể được tiếp cận qua các họ địa chỉ khác nhau, các mạng con khác nhau và chính sách khác nhau.

Tách luồng đang hoạt động khỏi luồng thất bại

Coi mỗi dịch vụ là luồng riêng của nó chứ không phải triệu chứng của VPN. Một máy khách minh họa có thể mở portal.corp.example tại 172.20.4.15:443 mà vẫn không đến được cơ sở dữ liệu tại 172.20.9.40:5432, vì đó là hai điểm đích với hai bộ quy tắc. Ghi lại cả hai dòng trước khi thay đổi bất cứ điều gì, kể cả cổng và giao thức, vì một quy tắc cho phép TCP 443 trên một máy chủ không nói gì về TCP 5432 trên cùng máy chủ đó.

Dòng thất bại là dòng cần điều tra. Dòng đang hoạt động chỉ cho biết đường cơ sở nằm ở đâu, và nó sẽ là điểm so sánh sau mỗi thay đổi.

So sánh địa chỉ trước khi so sánh tên

Phân giải từng tên đầy đủ theo chính sách mà ứng dụng thực sự dùng, rồi ghi lại họ địa chỉ mà nó chọn. Một tên có thể trả về địa chỉ IPv6 trong khi tên khác trả về IPv4, và một câu trả lời cũ trong bộ nhớ đệm có thể gửi yêu cầu đến một địa chỉ công cộng không liên quan gì đến dịch vụ riêng.

ip route get 172.20.4.15
ip route get 172.20.9.40
ip -6 route get 2001:db8:60::20

Truy vấn trả lời một câu hỏi hẹp: máy chủ này sẽ chọn tuyến nào cho điểm đích đó, với bảng và quy tắc chính sách hiện tại. Tuyến cho 172.20.4.0/24 không bao phủ 172.20.9.0/24, và một trình quản lý mạng thứ hai hoặc một tuyến cục bộ có độ đặc hiệu tốt hơn có thể lặng lẽ lấn át đường hầm. Lặp lại truy vấn bên trong không gian tên hoặc với dấu mà ứng dụng dùng khi chúng khác với shell của bạn. Cũng ghi lại giao diện mà gói tin đi ra, vì bảng tuyến có thể nêu một giao diện trong khi định tuyến theo chính sách đưa luồng ra qua giao diện khác.

Một tuyến khớp là điều kiện cần, không phải sự cho phép. Nó cho biết gói tin có nơi để đi và không nói gì về việc tường lửa, dịch vụ cấp quyền hay chính máy chủ có chấp nhận nó hay không.

Giao thức và giai đoạn phản hồi cho biết nó dừng ở đâu

Phản hồi ping không chứng minh rằng một cổng cơ sở dữ liệu đang mở, và một trang HTTPS thành công không cấp quyền chia sẻ tệp trên cùng máy. Ghi lại điều thực sự trả về thay vì san phẳng mọi thất bại vào một loại. Hết thời gian chờ, đặt lại, lỗi danh tính TLS và từ chối ở tầng ứng dụng mỗi loại chỉ vào một tầng khác nhau.

Sự phân biệt quan trọng vì các cách sửa khác nhau. Im lặng thường có nghĩa là vấn đề tuyến, tường lửa hoặc dịch địa chỉ trên đường. Đặt lại ngay lập tức gợi ý rằng có thứ gì đó đã đến máy chủ và từ chối cổng. Lỗi chứng chỉ nghĩa là kết nối đã đến và tên không khớp, đó là vấn đề cấu hình chứ không phải khả năng tiếp cận. Việc ứng dụng từ chối nghĩa là mạng đã làm xong việc của nó và danh tính bị từ chối sau đó.

Khi một tài nguyên được công bố qua cổng kết nối, hãy so sánh địa chỉ nguồn mà điểm đích thấy với nguồn mà máy khách của bạn nghĩ là nó đang dùng. Một yêu cầu do chính cổng kết nối khởi tạo có thể thành công trong khi cùng yêu cầu đó từ máy khách lại thất bại, vì hai bên đến từ các địa chỉ khác nhau và gặp các quy tắc khác nhau.

Đổi một biến và chạy lại cả hai yêu cầu

Danh tính là nơi cuối cùng người ta nhìn và là nơi đầu tiên một sự từ chối đúng đắn xuất hiện. Đăng nhập VPN, nhóm thư mục và tài khoản ứng dụng là ba danh tính riêng biệt có thể lệch nhau. Truy cập vào một cổng thông tin không bao giờ hàm ý truy cập vào cơ sở dữ liệu phía sau, và một tên trong thư mục này không tạo ra hàng trong thư mục khác. Nếu dịch vụ nằm ngoài phạm vi dự định của người dùng, sự từ chối chính là hệ thống đang hoạt động.

Hãy đề nghị chủ sở hữu tài nguyên xác nhận quyền dự định thay vì thêm một tuyến rộng hoặc mở một nhóm để thử. Mở rộng mạng để chứng minh một luận điểm chính là cách một chẩn đoán tạm thời trở thành phơi nhiễm vĩnh viễn, và nó phá hủy mốc đối chứng ban đầu. Một điểm không khớp được chứng minh mỗi lần lặp là đủ: một tuyến thiếu, một họ địa chỉ sai, một cổng bị chặn hoặc một tư cách thành viên nhóm còn thiếu.

Sau mỗi thay đổi, lặp lại cả hai yêu cầu và giữ các đầu ra cạnh nhau. Cuộc điều tra kết thúc khi dịch vụ thất bại hoạt động dưới chính sách của riêng nó, trong khi dịch vụ đang hoạt động và những từ chối mà bạn vẫn chờ đợi hành xử đúng như trước.