VPN-verbinding verstryk: DNS, vervoer, onderhandeling of aanmelding

“Verbinding het verstryk” is die minste spesifieke fout wat ’n VPN-kliënt kan druk. Dit beteken een bewerking het sy sperdatum gemis, en elke stadium van naamoplossing tot die aanmeldingsantwoord het ’n sperdatum. Kliënte wat net die finale boodskap wys, laat die stadiums identies lyk, so mense verhoog die tydperk, verander die poort en herinstalleer die profiel, in daardie volgorde, sonder om iets te leer. Om die stadiums te vergelyk is vinniger: elkeen misluk op ’n ander plek, en elke mislukking laat ’n ander soort bewyse agter.

Vier stadiums, vier verskillende mislukkings

Die volgorde is vas selfs wanneer die kliënt dit wegsteek: die naam moet opgelos word, ’n vervoer moet na die resulterende adres gevestig word, die protokol moet sy parameters en sleutels onderhandel, en die rekening moet geauthentiseer word. OpenVPN se gids vir die oplos van verbindingsprobleme volg dieselfde volgorde vir sy eie kliënt, en die ander volg dit noukeurig. ’n Tydverstryking by stadium twee en een by stadium vier het niks gemeen buiten die woord op die skerm nie.

Lees die log vir die laaste reël wat vordering aandui, nie die laaste reël voor die fout nie. Die meeste kliënte druk iets soos ’n opgeloste adres, ’n gevestigde sok, ’n begin-handdruk of ’n verifikasierversoek, en die stadium wat op daardie reël volg, is die een wat verstryk het.

Naamoplossing misluk voordat enigiets gekontak word

As die eindpunt nooit oplos nie, het die kliënt niks om aan te koppel nie en het geen vervoerwerk plaasgevind nie. Daardie mislukking is gewoonlik onmiddellik eerder as ’n volle tydverstryking, wat die goedkoopste manier is om dit van die res te onderskei. Toets die naam met die stelseloplosser en met ’n tweede oplosser, en vergelyk die twee antwoorde voordat jy aflei die bediener is af.

’n Ou adres wat uit ’n forumplasing gekopieer is, is ’n algemene oorsaak van ’n tydverstryking wat soos ’n bedienerprobleem lyk, want die adres behoort nou aan iets anders of aan niks. Gebruik die operateur se huidige profiel eerder as om ’n adres te vervang wat vroeër gewerk het. ’n Ontbrekende ping-antwoord is nie in enige rigting bewys nie: baie eindpunte laat ICMP val terwyl hulle heeltemal goed dien.

Vervoeropstelling wag vir ’n pakket wat nie gaan kom nie

Wanneer DNS reg is en die kliënt steeds die hele tydperk verbrand, is die vervoerlaag die verdagte. Op TCP kan jy die poort direk toets; Test-NetConnection op Windows of nc -vz op Linux vertel jou of iets die verbinding aanvaar, en dit is nuttiger as ’n ping. Op UDP kan jy nie dieselfde toets nie, want daar is geen handdruk om op daardie laag te voltooi nie, en hierdie asimmetrie veroorsaak baie verkeerde gevolgtrekkings.

Wat ’n TCP-toets bewys, is beperk: ’n diens wat poort 443 aanvaar, is nie noodwendig die VPN-luisteraar nie, en ’n slegs-UDP-eindpunt het geen TCP-poort om enigiets te aanvaar nie. Om ’n profiel van UDP na TCP te herskryf, skep nie ’n luisteraar aan die ander kant nie; dit verander net waarvoor jou kliënt wag. As die netwerk die protokol filter, lewer die verandering ’n ander tydverstryking by dieselfde stadium.

Gevangenisportale verdien hul eie kontrole by hierdie stadium. Totdat die portaal die toestel magtig, gaan uitgaande verkeer na die portaal en die tonnelpoging hang bloot. Voltooi eers die portaal in ’n blaaier, probeer dan weer, en moenie die profiel verander terwyl die portaal nog hang nie.

Onderhandeling en aanmelding beteken die bediener het geantwoord

Sodra die tonnel die bediener bereik, begin die kliënt ’n handdruk en die fout verander van karakter. ’n Vaslopie hier gaan oor versoenbaarheid eerder as bereikbaarheid: protokolweergawes wat nie pas nie, ’n syfer- of datakanaalinstelling wat die ander kant nie sal aanvaar nie, of ’n profiel wat ’n funksie verwag wat die bediener nie bied nie. OpenVPN het sy onderhandelingsverstekke tussen hoofweergawes so dikwels verskuif dat ’n profiel vir een generasie die bediener kan bereik en steeds nie kan opkom nie.

Verifikasie is die laaste stadium en die maklikste om verkeerd te lees. ’n Duidelike verwerping is ’n antwoord, wat beteken die pad werk en die probleem is die identiteit, die sertifikaat of die rekeningtoestand. ’n Blaaiergebaseerde enkel-aanmelding-vloei is ’n derde geval: die kliënt wag vir ’n aksie wat jy nie gedoen het nie, of vir ’n blaaier wat dit nie kan begin nie, en niks sal aankom totdat jy daardie stap voltooi nie.

Vergelyk die bewyse voordat jy die herprobeer verander

Hou die toestel en profiel vas en verander een ding op ’n slag, begin met die netwerk. As dieselfde profiel op ’n selfoon-hotspot koppel en by hotel-Wi-Fi verstryk, is die pad die veranderlike, nie die bediener nie. As dit oral misluk, is die profiel of die eindpunt die veranderlike. As dit net op een tyd van die dag misluk, teken die tydstempel aan en vergelyk dit met bedienerkant-geleenthede voordat jy enigiets oor las aanneem.

Vir ’n diens wat jy administreer, is die deurslaggewende vergelyking of die poging hoegenaamd aankom. ’n Verbinding wat die luisteraar bereik en dan vashaak, hoort by die onderhandelingstadium; een wat nooit in die luisteraar se sig verskyn nie, is ’n vervoer- of oplossingsprobleem, en geen mate van herprobeer-instelling sal dit beweeg nie. Bedienerlogs skei ook ’n verwerpte aanmelding van ’n stil verwydering, wat die verskil is tussen ’n identiteitsregstelling en ’n vuurmuurregstelling.

Teken die kliëntweergawe, die profielnaam, die pogingstyd met sy tydsone en die eerste nuttige fout aan, eerder as die finale ontkoppelde reël. Verwyder sleutels en materiaal met geloofsbrieven voordat jy die uittreksel deel. Maak dan een betekenisvolle regstelling en probeer weer, want ’n langer sperdatum help net die gedokumenteerde stadige bewerking, en dit doen niks vir ’n verkeerde adres of ’n geblokkeerde poort nie.