VPN sê verbind maar niks word gerouteer: twee plekke om te kyk

’n Tonnel kan verbind rapporteer terwyl niks dit bereik, en dié twee feite woon op verskillende plekke. Die een is die roetelys, wat steeds pakkette kan stuur na ’n toestel wat niemand besit nie. Die ander is die resolveerder, wat steeds ’n bediener kan lys op ’n skakel wat weg is. Die netwerkverandering het nie die profiel beskadig nie, dit het die toestand van die vorige verbinding wees gelaat, en die herstel hang daarvan af na watter van die twee jy werklik kyk.

Vra eers die kern watter toestel hy sou gebruik

’n Roetelys wys wat bestaan; ’n roetesoektog wys wat sou gebeur. Vra na ’n openbare adres en lees die toestelnaam in die antwoord, want daardie een veld bepaal of die pakket êrens nuttig aankom. Wanneer die antwoord ’n tonneltoestel noem, gee die kern die pakkette daaraan, selfs al hardloop geen kliëntproses meer agter daardie koppelvlak nie. Wanneer die antwoord die fisiese adapter noem terwyl die kliënt sê hy is verbind, is die tonnel op en is dit bloot nie die gekose pad nie.

Die tweede geval is die gewone een nadat ’n kabel die draadlose vervang, en dit wys homself as ’n stukkende VPN.

ip route show default
ip route get 203.0.113.9

Lees daarna die verstekinskrywings, want ’n roete wat deur die vorige basisverbinding bygevoeg is, kan ’n skakelverandering oorleef en voor die nuwe een staan. ’n Verstekroete deur ’n toestel wat af is, is erger as geen verstekroete nie, want die kern verkies dit steeds. Let op die metrieke langs elke inskrywing, want daardie volgorde verduidelik die voorkeur vinniger as die koppelvlakname.

Lees dan die resolveerder per skakel, nie per lêer nie

Naamoplossing dra sy eie toestand en sy eie veroudering. ’n Resolveerder wat DNS-bediener per skakel lys, hou die bedieners van ’n tonnelskakel wat af is maar steeds geregistreer is, en elke soektog wag dan op ’n bediener wat nie sal antwoord nie. Die simptoom is ’n netwerk wat dood voel terwyl die roetelys perfek lyk.

Ondersoek die toestand per skakel eerder as die lêer, want op baie verspreidings is daardie lêer ’n simboliese skakel in die resolveerder in en om dit te wysig doen óf niks óf dit word vinnig oorskryf. Kyk watter skakel watter bedieners en watter soekdomein besit, en vra dan of die tonnelskakel hoegenaamd nog geregistreer behoort te wees. Indien nie, deaktiveer die verbinding wat dit besit eerder as om gegenereerde toestand met die hand te wysig. ’n Naam wat oplos terwyl die roetesoektog pakkette elders heen stuur, is ’n derde en aparte fout.

resolvectl status
resolvectl query app.internal.example

As adresse oplos en verbindings misluk, is die resolveerder reg en die roete nie. As adresse glad nie oplos nie, is dit die regte plek om te begin.

Hoe ’n verouderde roete die verandering oorleef

Die kliënt besit nie die netwerk op sy eie nie. Op ’n NetworkManager-gasheer word ’n VPN-profiel bo-op ’n basisverbinding geaktiveer, en die verbindingsinstellings laat daardie basis die VPN benoem wat dit moet volg. Wanneer die basis verander omdat ’n ander profiel verkies word, volg die tonnel na die nuwe basis of bly dit sonder een.

’n VPN-profiel bring homself nie op nie, so die paring maak veel meer saak as die profiel se eie outokoppel-voorkeur.

Lees die aktiewe lys en let op watter basis op is voordat jy aan die tonnel raak. As die basis gelys is en die tonnel nie, ontbreek die roete eerder as dat dit verouderd is, en die herstel is aktivering. As aktivering van die tonnel kla dat daar geen bronverbinding is nie, het die basis waarmee dit gepaar was weggeval, so bring dit eers op of herstel die paring eerder as om die tonnel weer te probeer. Om ’n profiel weer te probeer wie se ouer afwesig is, gee elke keer dieselfde fout, wat ’n nuttige sein is en nie ’n pla nie.

nmcli device status
nmcli connection show --active
nmcli connection up office-vpn

Onderskei verouderde toestand van ’n ontbrekende ouer

Drie toestande verduidelik byna elke verslag, en elkeen verg ’n ander herstel. ’n Verstekroete deur ’n toestel wat nog bestaan maar nie meer die tonnel dra nie, is verouderde toestand, skoongemaak óf deur die inskrywing te skrap óf deur die verantwoordelike profiel te herbegin. ’n Tonneltoestel wie se kliëntproses verdwyn het, is ’n opruimingsfout, so die ontkoppelpad verdien die aandag en nie die roetelys nie. Geen tonneltoestel hoegenaamd beteken die ouer of die paring ontbreek en die roetelys was nooit betrokke nie.

’n Herbegin verberg watter van die drie jy gehad het, en dit is juis hoekom dit soos ’n herstel voel.

Vra ná die herstel die kern om een openbare en een interne adres, en vra dan ’n interne naam op. Wanneer die adres werk en die naam nie, het jy ’n domeinbereikprobleem in die resolveerder gevind en nie ’n roeteprobleem nie. Skryf neer watter toestand jy gevind het, want die volgende netwerkverandering sal die een herskep wat jy gelos het.