Die openbare VPN-lys sê aanlyn; jou kliënt sê nee

Jy maak die gids oop, sorteer volgens spoed, kies ’n nodus wat as aanlyn gemerk is, en die kliënt gee op voordat dit klaar verbind. Die lys het nie juis gelieg nie. Dit het die uitslag van iemand anders se peiling gerapporteer, van ’n ander netwerk, op ’n vroeër oomblik, teen ’n diens wat ’n vrywilliger enige tyd kan afskakel. Om daardie gaping te begryp, maak ’n frustrerende jag ’n kort reeks kontroles wat jy op enige kandidaat kan uitvoer.

Wat die lys werklik gemeet het

’n Openbare gids hou velde soos ’n laas-gekontroleerde tyd, ’n waargenome rondreis-syfer, ’n sessietelling en soms ’n protokollys. Elkeen daarvan beskryf die laaste suksesvolle waarneming vanuit die projek se eie oogpunt, nie die toestand van die nodus wanneer jou pakket aankom nie.

Die varsheid maak meer saak as die getal. ’n Nodus wat vier minute gelede gekontroleer is en ’n nodus wat vier uur gelede gekontroleer is, kan dieselfde groen merker wys, en net een van hulle lyk nog soos die opgetekende toestand. Soek die tydstempel, nie die kleur nie.

Vrywillige bedryf voeg ’n tweede bron van verandering by wat geen monitor kan regstel nie. Die operateur is dalk besig om ’n skootrekenaar te herbegin, bandwydte op te raak, ’n ISP te verander of bloot die deksel toe te maak. ’n Lysinskrywing is ’n kandidaat, en om dit as ’n diensvlakooreenkoms te behandel, is ’n kategorie-fout.

Kyk na die kliënt se stadia, nie na die spinner nie

Elke VPN-kliënt deurloop dieselfde breë reeks: los die naam op, maak ’n vervoerverbinding oop, onderhandel sekuriteit, verifieer, en stel dan die tonnel op en stuur data. ’n Fout by elke stadium laat ander bewyse na, en die spinner wys niks daarvan nie.

Begin met naamoplossing. As die gasheernaam nie opgelos word nie, is niks oor die nodus se beskikbaarheid getoets nie, want die verbinding het nooit jou masjien verlaat nie. Volgende, die vervoer: ’n geweierde of tydsverstreke TCP- of UDP-uitruiling sê vir jou die eindpunt antwoord nie op daardie poort nie, wat ’n werklike bevinding oor die nodus is. Dan onderhandeling en verifikasie, waar ’n verkeerde sertifikaat, ’n vervalde profiel of ’n wanpasende syfer misluk terwyl die nodus heeltemal gesond is. Eers nadat die tonnel opgestel is, kan ’n roete- of DNS-fout die laaste stap verduidelik.

Lees die kliëntlog teen die hoogste breedsprakigheid wat nog op die skerm pas, en let op die laaste reël wat geslaag het. Daardie reël is waar die diagnose begin, en dit is gewoonlik meer insiggewend as enigiets wat die gids wys.

Een veranderlike per poging

Vergelyk kandidate met dieselfde kliënt, dieselfde toegangsnetwerk en dieselfde profielformaat, en verander net die eindpunt. Anders kan ’n fout joune wees en jy sal dit aan die nodus toeskryf.

Twee pogings is genoeg om ’n patroon vas te stel, en ’n derde bevestig dit. As nodus A by die vervoerstadium misluk en nodus B by verifikasie, het jy twee onverwante probleme eerder as een verouderde lys.

Wanneer elke nodus op dieselfde manier misluk

’n Algehele mislukking by die eerste stadium wys na jou kant: ’n oplosser wat nie kan antwoord nie, ’n plaaslike firewall wat die protokol blokkeer, of ’n netwerk wat net webverkeer toelaat. Die gids kan dit nie rapporteer nie, want sy peilings loop nie vanaf jou stoel nie.

Kontroleer die geval van ’n gevormde netwerk doelbewus. Sommige toegangsnetwerke laat HTTPS na die web toe en laat ander protokolle val, wat elke kandidaat dood laat lyk terwyl die lys akkuraat is. Om ’n bladsylaai in ’n blaaier met ’n rou verbindingspoging te vergelyk, skei daardie twee situasies in minder as ’n minuut.

Lees die fout by die stadium waar dit gebeur het

Herhaal die poging vanuit ’n terminaal sodat die stadiums sigbaar is. Die drie opdragte hieronder los die naam op, toets of die poort antwoord en druk die onderhandelingsreëls uit ’n OpenVPN-profiel:

dig +short node.example.net
curl -s --max-time 5 telnet://node.example.net:443
openvpn --config node.ovpn --verb 4 2>&1 | grep -iE "TLS|AUTH|PUSH"

As die poort antwoord en die onderhandelingsreël ’n sertifikaatprobleem rapporteer, is die nodus aan en jou profiel is verouderd. As die poort glad nie antwoord nie, is die inskrywing ’n kandidaat wat misluk het, en om na die volgende een te gaan is die regte reaksie eerder as om jou kliënt te ontfout. Noteer die stadium in ’n kort reël, en die volgende poging begin met kennis eerder as hoop.